Comment réparer l'exploit MSDT "Follina"

Qu'est-ce que l'exploit MSDT "Follina"

Mettre à jour: 0patch.com L'équipe a développé une série de microcorrectifs pour corriger l'exploit MSDT "Follina" et des correctifs pour d'autres problèmes de stabilité et de sécurité de Windows. S'il vous plaît, lisez plus dans cet article ou sur le site web officiel.

Tout récemment, les pirates ont découvert une nouvelle vulnérabilité Windows pour faciliter la pénétration des systèmes avec des logiciels malveillants. L'exploit est intrinsèquement lié à MSDT (Microsoft Support Diagnostic Tool) et permet aux cybercriminels d'effectuer diverses actions en déployant des commandes via la console PowerShell. Il s'appelait donc Follina et attribuait à ce tracker le code CVE-2022-30190. Selon certains experts réputés qui ont étudié ce problème, l'exploit réussit une fois que les utilisateurs ouvrent des fichiers Word malveillants. Les auteurs de menaces utilisent la fonctionnalité de modèle distant de Word pour demander un fichier HTML à un serveur Web distant. Suite à cela, les attaquants ont accès à l'exécution de commandes PowerShell pour installer des logiciels malveillants, manipuler des données stockées dans le système et exécuter d'autres actions malveillantes. L'exploit est également immunisé contre toute protection antivirus, ignorant tous les protocoles de sécurité et permettant aux infections de se faufiler sans être détectées.

Microsoft travaille sur la solution d'exploit et promet de déployer une mise à jour de correctif dès que possible. Nous vous recommandons donc de vérifier constamment votre système pour de nouvelles mises à jour et de les installer éventuellement. Avant cela, nous pouvons vous guider à travers la méthode de résolution officielle suggérée par Microsoft. La méthode consiste à désactiver le protocole d'URL MSDT, ce qui empêchera d'autres risques d'être exploités jusqu'à ce qu'une mise à jour apparaisse. En remarque, vous pouvez également explorer la liste des versions de Windows qui ont déjà été exploitées jusqu'à présent :

Désactivez le protocole d'URL MSDT pour corriger l'exploit

Les fonctionnalités internes de Windows permettent l'utilisation de l'invite de commande pour désactiver le fonctionnement du protocole URL MSDT. Ci-dessous, nous devrons effectuer un certain nombre de commandes copier-coller. Il sera également important de créer une sauvegarde du registre Windows pour restaurer le fonctionnement de MSDT si nécessaire à l'avenir. Les étapes écrites ci-dessous sont presque les mêmes dans tous les systèmes Windows, il ne devrait donc pas y avoir de problème avec cela.

1. Cliquez sur boucle de recherche à côté de la Menu Démarrer bouton et type cmd dans la barre de recherche.
2. Faites un clic droit dessus et choisissez Exécuter en tant qu'administrateur. Acceptez l'action pour continuer.
3. Une fois que vous êtes dans la console d'invite de commande, copiez-collez cette commande pour créer un fichier de sauvegarde. Avant d'exécuter la commande, remplacez file_path avec l'emplacement où vous souhaitez enregistrer votre sauvegarde.

reg export HKEY_CLASSES_ROOT\ms-msdt file-path

4. Presse Entrer et attendez quelques instants jusqu'à ce que la sauvegarde soit créée avec succès.
5. Après cela, vous êtes prêt à désactiver le protocole lui-même. Copiez et collez cette commande et appuyez sur Entrer.

reg delete HKEY_CLASSES_ROOT\ms-msdt /f

6. Une fois que vous voyez un message disant L'opération s'est terminée avec succès, cela signifie que le protocole URL MSDT a été désactivé et ne peut plus être exploité.

Comment réactiver le protocole URL MSDT

La restauration du protocole URL MSDT déjà désactivé est très simple. Cela peut être fait après que Microsoft a déployé une méthode de solution qui corrige les risques de sécurité. Vous devrez simplement importer le fichier de sauvegarde qui a été créé avant de désactiver le protocole.

1. Ouvrez la même invite de commande en suivant les étapes répertoriées ci-dessus.
2. Copiez-collez cette commande et remplacez file_path avec l'emplacement où votre fichier de sauvegarde a été enregistré.

reg import

3. Presse Entrer et attendez qu'un message de réussite s'affiche.

Résumé

Bien que l'exploit lui-même puisse sembler intimidant, il n'est pas difficile à résoudre en utilisant quelques lignes d'invite de commande. Nous espérons que vous avez réussi à le faire et que vous vous sentez maintenant plus protégé contre de futures tentatives d'exploitation de votre système de manière indirecte. Le déclenchement d'infections par des logiciels malveillants via des fichiers basés sur des macros modifiés de manière malveillante comme Word est, en général, une méthode très populaire dont abusent les attaquants. Divers virus tels que les rançongiciels et les chevaux de Troie peuvent également être distribués via ces fichiers dans des messages électroniques, qui, une fois ouverts, provoquent l'installation irréversible de logiciels malveillants. Il est donc important de rester à l'écart des contenus indésirables annoncés sur des pages douteuses ou des courriers électroniques, par exemple.