Follina Exploiter CLI Tool — уязвимость MSDT (CVE-2022-30190)

Инструмент командной строки на Python для эксплуатации уязвимости нулевого дня в MSDT (Microsoft Support Diagnostic Tool), также известной как «Follina» CVE-2022-30190.

Информация: Новая уязвимость нулевого дня в Microsoft Office используется в атаках для выполнения PowerShell

Сделано на Python (3.10.4)

Возможности

1. Выполнение вредоносной команды на устройстве жертвы.
2. Получение обратной оболочки (NetCat).
3. Включён RTF с нулевым кликом для файлов .rtf. Новое

Требования

• pyfiglet

Установка

• Клонируйте репозиторий

https://github.com/0xAbbarhSF/FollinaXploit

Для Linux

• Установите требуемый модуль

pip3 install pyfiglet

Одной строкой

git clone https://github.com/0xAbbarhSF/FollinaXploit && pip3 install pyfiglet && cd FollinaXploit

• Запуск

python3 "follinaExploiter.py"

Для Windows

• Установите требуемый модуль

pip install pyfiglet

• Запуск

python "follinaExploiter.py"

Как это работает?

Уязвимость эксплуатируется с использованием схемы URI MSProtocol для загрузки некоторого кода. Атакующие могут встраивать вредоносные ссылки в документы Microsoft Office, шаблоны или электронные письма, начинающиеся с ms-msdt:, которые будут загружены и выполнены без взаимодействия с пользователем — за исключением случаев, когда включён режим защищённого просмотра. Тем не менее, преобразование документа в формат RTF также может обойти функцию защищённого просмотра.

Документы MS Office docx могут содержать внешние ссылки на объекты OLE в виде HTML-файлов. Существует HTML-схема «ms-msdt:», которая вызывает диагностический инструмент msdt, способный выполнять произвольный код (указанный в параметрах).

БОНУС (RTF-версия с нулевым кликом) (Сделай сам) Теперь включена

<o:LinkType>EnhancedMetaFile</o:LinkType>
<o:LockedField>false</o:LockedField>
<o:FieldCodes>\f 0</o:FieldCodes>