Hackers chineses descobrem vulnerabilidade da Microsoft
De acordo com informações divulgadas pela Proofpoint no Twitter, uma organização de hackers conhecida como TA413, estava utilizando a vulnerabilidade em documentos maliciosos do Word. Tais documentos supostamente foram emitidos pela Administração Central Tibetana, o governo tibetano que está no exílio com sede em Dharamsala, na Índia.
Vale ressaltar que o grupo TA413 é um APT, ou “ameaça persistente avançada”, o qual está visando a população tibetana exilada.
Em geral, os hackers chineses têm um histórico de atacar os tibetanos explorando falhas de segurança de software. Assim, o Citizen Lab produziu um relatório em 2019 de que um spyware detalhado e extenso está mirando autoridades políticas tibetanas, inclusive por meio de explorações do navegador Android e links maliciosos transmitidos via WhatsApp. Os hackers também armaram extensões de navegador. Bem como, a Proofpoint descobriu anteriormente a implantação de um complemento malicioso do Firefox para espionar ativistas tibetanos.
Agora a Microsoft aceitou formalmente a vulnerabilidade, apelidada de CVE-2022-30190. Entretanto, a empresa ignorou as alegações anteriores da mesma falha.
Vale notar que, em 27 de maio, um grupo de pesquisa de segurança conhecido como Nao Sec foi ao Twitter para discutir uma amostra dada ao serviço de varredura de malware na web VirusTotal. Assim, a vulnerabilidade do Microsoft Word ganhou atenção significativa, pois com o tweet da Nao Sec foi descoberto que o código malicioso foi enviado usando documentos do Microsoft Word. Dessa forma, os hackers o usaram para executar instruções via PowerShell, uma sofisticada ferramenta de gerenciamento de sistema para Windows.
De acordo com o blog de resposta de segurança da Microsoft, um invasor que explora a vulnerabilidade pode instalar programas, acessar, alterar ou excluir dados. Além disso, podem até estabelecer novas contas de usuário em um sistema comprometido. Portanto, a Microsoft ainda não produziu um patch oficial, mas forneceu etapas de mitigação para a vulnerabilidade, incluindo a desativação manual do recurso de carregamento de URL da ferramenta MSDT. Entretanto, a superfície de ataque potencial para a exposição é extensa devido ao uso generalizado do Microsoft Office e produtos relacionados.
