En ny nuldagssårbarhed er blevet fundet i Microsoft Office, som Computerworld rapporterede om i går.
Nu bliver sårbarheden udnyttet af kinesiske trusselsaktører.
Fejlen, som har fået tilnavnet "Follina" er en Microsoft Windows Support Diagnostic Tool (MSDT)-sårbarhed ved fjernudførelse af kode, og den har Common Vulnerabilities and Exposures (CVE)-nummeret CVE-2022-30190.
Det skriver Bleepingcomputer.
Fejlen rammer alle Windows-versioner, som forsat modtager sikkerhedsopdateringer.
Det beskrives i mediet, at fejlen kan benyttes af trusselsaktører til at udføre ondsindede PowerShell-kommandoer via MSDT ved Arbitrary Code Execution (ACE)-angreb ved forhåndsvisning eller åbning af eksempelvis Word-dokumenter.
Det er hackergruppen TA413 APT, som er tilknyttet kinesiske statsinteresser, som nu udnytter fejlen, og gruppen bruger især fejlen mod det tibetanske samfund og internationale Tibet-støtter.
"Kampagner efterligner den centrale tibetanske administrations 'Women Empowerments Desk' og bruger domænet tibet-gov.web[.]app," skriver sikkerhedsfirmaet Proofpoint ifølge mediet.
Microsoft kender problemet
"En angriber, der med succes udnytter denne sårbarhed, kan køre vilkårlig kode med rettighederne for det gældende program. Angriberen kan derefter installere programmer, se, ændre eller slette data eller oprette nye konti i den kontekst, der tillades af brugerens rettigheder," skriver Microsoft om den nyligt fundne sårbarhed.
Tech-giganten er blevet bekendt med sårbarheden, og har i første omgang udsendt en guide til at undgå angreb for brugere og administratorer.
Deaktivering af MSDT URL-protokol nævnes som første punkt under løsningsområdet.
"Deaktivering af MSDT URL-protokol forhindrer fejlfinding i at blive lanceret som links, herunder links i hele operativsystemet. Fejlfinding kan stadig tilgås ved at bruge programmet Få hjælp og i systemindstillinger som andre eller yderligere fejlfindere," fremgår det.
Derudover kan Microsoft Defender være behjælpelig i forskellige versioner.
Kunder med Microsoft Defender Antivirus kan aktivere cloud-leveret beskyttelse og automatisk prøveindsendelse.
"Disse funktioner bruger kunstig intelligens og maskinlæring til hurtigt at identificere og stoppe nye og ukendte trusler," skriver Microsoft.
Kunder med Microsoft Defender for Endpoint kan aktivere attack surface reduction rule "BlockOfficeCreateProcessRule", der blokerer Office-apps i at oprette underordnede processer.
Læs mere om Microsofts guide her.
