arkha-corvus/letsdefend-soc336-windows-ole-zero-click-rce-exploitation-detected-cve-2025-21298-Dobbiamo indagare su un avviso critico che segnala lo sfruttamento di una RCE zero-click OLE su Windows (CVE-2025-21298) consegnata tramite un allegato RTF dannoso.
Dobbiamo indagare su un avviso critico che segnala uno sfruttamento di una RCE zero-click in Windows OLE (CVE-2025-21298) consegnata tramite un allegato RTF dannoso.
Il 4 febbraio 2025, alle 16:18, è stato attivato un avviso di sicurezza in seguito alla ricezione di un'email da parte di Austin @ letsdefend.io. Il messaggio proveniva da projectmanagement @ pm.me e includeva un allegato. Il file allegato è stato immediatamente segnalato come dannoso dai sistemi di monitoraggio della sicurezza dell'organizzazione. Questa rilevazione indica che l'allegato probabilmente conteneva contenuti dannosi.
Questa sezione analizza l'email di project management identificata nel sistema di sicurezza email integrato. L'obiettivo è comprendere la natura dell'email e le potenziali minacce affrontate dall'utente.
Dall'esame, è evidente che l'email in questione è dannosa e progettata come tentativo di phishing. L'email consegna un file Rich Text Format (RTF) armato, creato per sfruttare una vulnerabilità nota in Windows Object Linking and Embedding (OLE).
L'obiettivo principale di questo attacco è ottenere l'esecuzione remota di codice sul sistema di destinazione. Sfruttando la vulnerabilità Windows OLE, l'attaccante cerca di ottenere un accesso iniziale al sistema o potenzialmente di consegnare payload aggiuntivi, aumentando il rischio per il destinatario.
La segnalazione dell'indirizzo IP da parte di queste fonti indipendenti indica un'alta probabilità del suo coinvolgimento in operazioni sospette o dannose. Questo consenso tra gli strumenti di sicurezza rafforza il caso per trattare l'indirizzo IP come una potenziale minaccia all'interno dell'ambiente.
L'esecuzione del comando indica che regsvr32.exe, un'utilità Windows legittima, è stata sfruttata per recuperare ed eseguire uno script remoto dal lato dell'attaccante. Lo script è stato eseguito tramite la libreria scrobj.dll, un metodo frequentemente impiegato negli attacchi malware fileless, dove il codice dannoso viene eseguito direttamente in memoria per eludere i meccanismi di rilevamento basati su file convenzionali.
Dopo un ulteriore esame, è stato determinato che lo script è stato scaricato dall'endpoint di Austin, indicando che script.sct è stato autorizzato a essere gestito da un server remoto.
Ho esteso la mia analisi esaminando l'hash collegato al file RTF, che ha fornito prove chiare che si trattava di un file dannoso. Questo hash era stato segnalato più volte e identificato da vari vendor di sicurezza, confermando il suo uso ripetuto in attività dannose.
Ho preso proattivamente l'iniziativa di contenere il dispositivo di Austin per prevenire ulteriori danni o potenziali rischi per la sicurezza. Inoltre. Questa azione tempestiva ha contribuito a minimizzare l'impatto e a mantenere la sicurezza della rete.
Al termine della mia indagine, ho concluso che il file in questione, o il malware ad esso associato, rappresentava una minaccia significativa. L'analisi ha confermato che il software era effettivamente dannoso e richiedeva attenzione immediata.
Successivamente, ho documentato le lezioni apprese dall'incidente per riferimento futuro e mi sono assicurato che tutti i dettagli riguardanti l'attacco C2 dannoso fossero comunicati a fondo.
Grazie mille per aver dedicato del tempo alla lettura di questo contenuto!
Il tuo feedback sarebbe molto apprezzato e valorizzato.
