Per anni il consiglio è stato lo stesso: non attivare le macro nei documenti ricevuti per email. Con Follina non basta più. Il 27 maggio alcuni ricercatori hanno trovato su un servizio di analisi online un documento Word malevolo che esegue codice senza alcuna macro. Il 30 maggio Microsoft ha catalogato la vulnerabilità come CVE-2022-30190 e ha confermato che è già sfruttata in attacchi reali. Una patch non c’è ancora.
Il documento contiene un riferimento a una pagina web esterna. Quando Word la carica, la pagina usa lo schema ms-msdt: per avviare il Microsoft Support Diagnostic Tool, lo strumento di diagnostica di Windows, passandogli parametri costruiti ad arte. MSDT finisce per eseguire comandi PowerShell scelti dall’attaccante, con i privilegi dell’utente.
Funziona con le macro disattivate. La Visualizzazione protetta di Office la ferma, ma con alcuni formati, come i file RTF, il codice può partire dalla sola anteprima in Esplora file, senza nemmeno aprire il documento. E riguarda anche le versioni di Office più recenti e aggiornate, perché il difetto sta in Windows, non in Word.
Togliere di mezzo il protocollo
In attesa della correzione, Microsoft consiglia di disattivare il protocollo URL di MSDT. Da un prompt dei comandi aperto come amministratore:
- salva una copia della chiave con
reg export HKEY_CLASSES_ROOT\ms-msdt msdt-backup.reg; - elimina la chiave con
reg delete HKEY_CLASSES_ROOT\ms-msdt /f.
Lo strumento di diagnostica continuerà a funzionare se avviato a mano, e quando arriverà la patch potrai ripristinare la chiave con reg import msdt-backup.reg. Se gestisci molte postazioni, distribuisci la modifica con i criteri di gruppo o con il tuo strumento di gestione.
Vale la pena attivare anche la regola di riduzione della superficie d’attacco che impedisce alle app di Office di creare processi figli, e cercare nei sistemi di monitoraggio processi msdt.exe avviati da Word, Excel o Outlook. Agli utenti, intanto, va aggiornato il messaggio: un documento inatteso resta sospetto anche quando non chiede di attivare niente.
