Herramienta de diagnóstico de soporte de Microsoft

Follina es el nombre dado a una vulnerabilidad de ejecución remota de código (RCE), un tipo de exploit de ejecución arbitraria de código (ACE), en la Herramienta de diagnóstico de soporte de Microsoft (MSDT) que fue ampliamente publicitada por primera vez el 27 de mayo de 2022, por un grupo de investigación de seguridad llamado Nao Sec. ^{[ 5 ]} Este exploit permite a un atacante remoto usar una plantilla de documento de Microsoft Office para ejecutar código a través de MSDT. Esto funciona explotando la capacidad de las plantillas de documentos de Microsoft Office para descargar contenido adicional de un servidor remoto. Si el tamaño del contenido descargado es lo suficientemente grande, causa un desbordamiento de búfer que permite que se ejecute una carga útil de código Powershell sin notificación explícita al usuario. El 30 de mayo, Microsoft emitió CVE -2022-30190 ^{[ 6 ]} con la recomendación de que los usuarios deberían deshabilitar MSDT. ^{[ 7 ]} Se ha observado a actores maliciosos explotando el error para atacar computadoras en Rusia y Bielorrusia desde abril, y se cree que actores estatales chinos lo han estado explotando para atacar al gobierno tibetano en el exilio con sede en India. ^{[ 8 ]} Microsoft corrigió esta vulnerabilidad en sus parches de junio de 2022. ^{[ 9 ]}

La vulnerabilidad DogWalk es una vulnerabilidad de ejecución remota de código (RCE) en la herramienta de diagnóstico de soporte de Microsoft (MSDT). Se informó por primera vez en enero de 2020, pero Microsoft inicialmente no la consideró un problema de seguridad. Sin embargo, posteriormente la vulnerabilidad fue explotada, y Microsoft lanzó un parche en agosto de 2022.

Descubierta originalmente por Mitja Kolsek, la vulnerabilidad DogWalk se debe a una vulnerabilidad de recorrido de ruta en la biblioteca sdiageng.dll. Esta vulnerabilidad permite a un atacante engañar a la víctima para que abra un archivo diagcab malicioso, un tipo de archivo de gabinete de Windows que se utiliza para almacenar archivos de soporte. Al abrir el archivo diagcab, se activa la herramienta MSDT, que ejecuta el código malicioso.

La vulnerabilidad se explota creando un archivo diagcab malicioso que contiene una ruta especialmente diseñada. Esta ruta contiene una secuencia de caracteres diseñada para explotar la vulnerabilidad de recorrido de ruta en la biblioteca sdiageng.dll. Al abrir el archivo diagcab, la herramienta MSDT intentará seguir la ruta. Sin embargo, la ruta contendrá caracteres no válidos para una ruta de Windows, lo que provocará que la herramienta MSDT falle.

Cuando la herramienta MSDT falla, genera un volcado de memoria. Este volcado contiene el código malicioso ejecutado por la herramienta MSDT. El atacante puede entonces usar este volcado de memoria para extraer el código malicioso y ejecutarlo en su propio ordenador. ^{[ 10 ] [ 11 ]}