CVE-2022-30190 (Follina)

Образовательная разработка вредоносного ПО, эксплуатация, анализ и устранение

Полностью документированное доказательство концепции, демонстрирующее уязвимость Follina — от социальной инженерии до эксплуатации, криминалистического анализа и разработки патча.

⚠️ Только в образовательных целях. Все действия в этом репозитории проводились исключительно в изолированной лаборатории виртуальных машин в рамках модуля IE4012 «Наступательные хакерские тактики и стратегии» в SLIIT. Ничто из этого не должно использоваться за пределами контролируемой лаборатории. Не тестируйте на реальных системах или сетях.

📋 Обзор

CVE-2022-30190, также известная как Follina, — это уязвимость удалённого выполнения кода в средстве диагностики поддержки Microsoft (MSDT). Она была публично раскрыта 30 мая 2022 года и получила оценку CVSS 7.8 (Высокая). Эксплойт срабатывает, когда жертва открывает специально созданный документ Microsoft Office — макросы не требуются. Документ загружает HTML-полезную нагрузку с контролируемого злоумышленником HTTP-сервера, которая вызывает обработчик протокола ms-msdt: и передаёт произвольные команды системе через аргумент PCWDiagnostic.

🗂️ Структура репозитория

SourceCode.zip/
├── PoC.py                                  # Main exploit script
├── patch.py                                # Mitigation patch script
├── Invoice_FS-2026-8821_OVERDUE.docx       # Generated malicious Word document
└── doc/                                    # Internal XML files extracted from the docx
    ├── word/
    │   ├── document.xml                    # Main document body
    │   └── _rels/
    │       └── document.xml.rels           # External OLE reference pointing to attacker server
    └── [Content_Types].xml

🚀 Как это работает

Фаза 1 — Доставка через социальную инженерию

Приманкой служит фишинговое письмо, имитирующее биллинговую платформу FinanceSync, с сообщением о просроченном счете. Вложение — это запароленный zip-архив (Invoice.zip), содержащий вредоносный документ Word. Использование зашифрованного архива позволяет обойти большинство сканеров почтовых шлюзов, так как содержимое не может быть проверено.

Фаза 2 — Цепочка эксплуатации

• PoC.py создаёт Invoice_FS-2026-8821_OVERDUE.docx и запускает HTTP-сервер на порту 8000
• Документ содержит внешнюю OLE-ссылку в word/_rels/document.xml.rels, указывающую на http://<ip_атакующего>:8000/index.html
• Когда жертва открывает документ, Word автоматически загружает HTML-полезную нагрузку — никакого запроса пользователю, никаких макросов
• HTML-полезная нагрузка содержит проверку даты на JavaScript по жёстко заданной дате активации (2026-03-25). Если условие по дате не выполнено, ничего не выполняется
• Как только условие выполняется, запускается URI ms-msdt: с аргументом PCWDiagnostic, содержащим команду cmd.exe
• Цепочка процессов WINWORD.EXE → msdt.exe → cmd.exe выполняется и создаёт файл sys_cache.dat в C:\Users\Public\ как подтверждение компрометации

Фаза 3 — Патч

patch.py удаляет обработчик протокола URI ms-msdt из реестра Windows, разрывая цепочку эксплуатации на этапе разрешения URI до того, как любые контролируемые злоумышленником аргументы достигнут MSDT.

⚙️ Использование

Предварительные требования

Машина атакующего (Kali Linux)

• Python 3

Машина жертвы (Windows 10)

• Установленный Microsoft Office (непатченная сборка)
• Наличие ключа реестра ms-msdt в HKEY_CLASSES_ROOT
• Системная дата установлена на 2026-03-25 или позже

Запуск PoC

# На машине атакующего
python3 PoC.py

Скрипт создаёт документ Word и запускает HTTP-сервер. Перенесите документ на виртуальную машину жертвы и откройте его. На терминале атакующего будет зафиксирован входящий запрос от Word.

Запуск патча

Скрипт патча должен запускаться с правами Администратора на виртуальной машине жертвы с Windows.

# Проверка текущего состояния
python patch.py --status

# Применение патча (удаление ключа реестра ms-msdt)
python patch.py --apply

# Откат к уязвимому состоянию (для повторного тестирования)
python patch.py --rollback

🔬 Детали уязвимости

🛡️ Эффективность патча

🧠 Лабораторная среда

Обе виртуальные машины были подключены через сеть только для хоста VirtualBox без доступа в интернет.