🔵 Follina（CVE-2022-30190）威胁分析报告——Microsoft MSDT RCE零日漏洞，已在野外被利用。涵盖静态分析、VirusTotal、OSINT、MITRE ATT&CK T1059以及使用Windows事件ID 4688的检测工程。
Microsoft MSDT远程代码执行零日漏洞 — 活跃利用调查 by MUHAMMAD ZAWAR KHATTAK
周五晚上，团队收到一个正在野外被积极利用的新RCE漏洞警报。我的任务是分析和研究恶意样本，为周末团队收集情报。
| 工具 | 用途 |
|---|---|
| VirusTotal | 静态分析、文件哈希、联系URL |
| Any.Run | 动态沙箱、MITRE ATT&CK映射 |
| CVE.org | 官方漏洞研究 |
| OSINT / GitHub | 检测规则、威胁情报 |
| Linux CLI | 通过sha1sum进行文件哈希 |
| # | 发现 |
|---|---|
| SHA1哈希 | 06727ffda60359236a8029e0b3e8a0fd11c23313 |
| 文件类型 | Office Open XML文档（伪装为.doc） |
| 恶意URL | 嵌入在 word/_rels/document.xml.rels 中 |
| 被终止的进程 | msdt.exe — Microsoft支持诊断工具 |
| MITRE技术 | T1059 — 命令和脚本解释器 |
| CVE | CVE-2022-30190 — Microsoft MSDT RCE |
ProcessName: msdt.exe
ParentProcessName: WINWORD.EXE
EventID: 4688
#BlueTeam #ThreatIntel #Follina #CVE-2022-30190 #MITRE #SOC #MalwareAnalysis #CyberSecurity