Cómo reparar el exploit MSDT "Follina"

¿Qué es el exploit MSDT "Follina"?

Actualizar: 0patch.com El equipo desarrolló una serie de microparches para reparar el exploit MSDT "Follina" y parches para otros problemas de estabilidad y seguridad de Windows. Por favor, lea más en este artículo o en la página web oficial.

Recientemente, los piratas informáticos encontraron una nueva vulnerabilidad de Windows para ayudar a la penetración de sistemas con malware. El exploit está intrínsecamente relacionado con MSDT (Herramienta de diagnóstico de soporte de Microsoft) y permite a los ciberdelincuentes realizar varias acciones mediante la implementación de comandos a través de la consola de PowerShell. Por lo tanto, se llamó Follina y se le asignó a este código de seguimiento CVE-2022-30190. Según algunos expertos de renombre que investigaron este problema, el exploit termina con éxito una vez que los usuarios abren archivos de Word maliciosos. Los actores de amenazas utilizan la función de plantilla remota de Word para solicitar un archivo HTML desde un servidor web remoto. Después de esto, los atacantes obtienen acceso para ejecutar comandos de PowerShell para instalar malware, manipular datos almacenados en el sistema y ejecutar otras acciones maliciosas. El exploit también es inmune a cualquier protección antivirus, ignorando todos los protocolos de seguridad y permitiendo que las infecciones pasen desapercibidas.

Microsoft trabaja en la solución de explotación y promete implementar una actualización de corrección lo antes posible. Por lo tanto, le recomendamos que revise constantemente su sistema en busca de nuevas actualizaciones y las instale eventualmente. Antes de eso, podemos guiarlo a través del método de resolución oficial sugerido por Microsoft. El método consiste en deshabilitar el protocolo URL de MSDT, lo que evitará que se exploten más riesgos hasta que aparezca una actualización. Como nota al margen, también puede explorar la lista de las versiones de Windows que ya han sido objeto de explotación hasta el momento:

Deshabilite el protocolo URL de MSDT para corregir el exploit

Las funciones internas de Windows permiten el uso del símbolo del sistema para deshabilitar el funcionamiento del protocolo URL de MSDT. A continuación, tendremos que realizar una serie de comandos de copiar y pegar. También será importante crear una parte posterior del Registro de Windows para restaurar la operación de MSDT si es necesario en el futuro. Los pasos escritos a continuación son casi los mismos en todos los sistemas Windows, por lo que no debería haber ningún problema con eso.

1. Haga clic en bucle de búsqueda al lado de Menú Inicio botón y tipo cmd en la barra de búsqueda.
2. Haz clic derecho en él y elige Ejecutar como administrador. De acuerdo con la acción a seguir.
3. Una vez que esté en la consola del símbolo del sistema, copie y pegue este comando para crear un archivo de respaldo. Antes de ejecutar el comando, reemplace file_path con la ubicación donde desea guardar su copia de seguridad.

reg export HKEY_CLASSES_ROOT\ms-msdt file-path

4. Prensa Participar y espere unos momentos hasta que la copia de seguridad termine creada con éxito.
5. Después de esto, está listo para deshabilitar el protocolo en sí. Copie y pegue este comando y presione Participar.

reg delete HKEY_CLASSES_ROOT\ms-msdt /f

6. Una vez que vea un mensaje que dice La operación se ha completado con éxito, significará que el protocolo URL de MSDT ha sido deshabilitado y ya no puede ser explotado.

Cómo habilitar de nuevo el protocolo URL de MSDT

Restaurar el protocolo URL MSDT ya deshabilitado es muy fácil. Esto se puede hacer después de que Microsoft implemente un método de solución que rectifique los riesgos de seguridad. Simplemente tendrá que importar el archivo de copia de seguridad que se creó antes de apagar el protocolo.

1. Abra el mismo símbolo del sistema siguiendo los pasos enumerados anteriormente.
2. Copie y pegue este comando y reemplace file_path con la ubicación donde se guardó el archivo de copia de seguridad.

reg import

3. Prensa Participar y espere hasta que aparezca un mensaje sobre la finalización exitosa.

Resumen

Aunque el exploit en sí mismo puede parecer intimidante, no es difícil de resolver usando un par de líneas del símbolo del sistema. Esperamos que haya logrado hacer esto y ahora se sienta más protegido contra futuros intentos de explotar su sistema desde un lado. Activar infecciones de malware a través de archivos basados ​​en macros modificados maliciosamente como Word es, en general, un método muy popular del que abusan los atacantes. Varios virus como ransomware y troyanos también pueden distribuirse a través de dichos archivos en mensajes de correo electrónico que, una vez abiertos, provocan la instalación irreversible de malware. Por lo tanto, es importante mantenerse alejado del contenido no deseado anunciado en páginas dudosas o cartas de correo electrónico, por ejemplo.