Новый нулевой день Windows Search создает для Microsoft еще одну головную боль в области безопасности

При совместном использовании две недавно обнаруженные уязвимости Windows позволяют злоумышленникам запускать вредоносные программы на цели конечная точка, как обнаружили исследователи.

Двумя недостатками являются нулевой день Windows Search и недостаток Microsoft Office OLEObject.

Благодаря использованию вооруженного документа Word поиск нулевого дня можно использовать для автоматического открытия окна поиска с удаленно размещенным вредоносным ПО. Это стало возможным благодаря тому, как Windows обрабатывает обработчик протокола URI, который называется «search-ms».

Недостаток OLEObject

Этот протокол позволяет приложениям и HTML-ссылкам запускать настраиваемый поиск. Проблема в том, что Windows предупредит жертву о том, что сайт пытается открыть проводник Windows, возможно, предупреждая большинство из них о том, что что-то не так.

Однако соучредитель Hacker House и исследователь безопасности Мэтью Хикки обнаружил, что, объединив эту уязвимость с уязвимостью Microsoft Office OLEObject, окно поиска можно открыть, просто открыв документ Word.

Короче говоря, мошенник может получить документ Word с оружием через фишинговое письмо, и как только жертва откроет его, может появиться пользовательская страница поиска Windows, содержащая вредоносное ПО, размещенное удаленно.

BleepingComputer предупредил, что общий ресурс может иметь любое имя, которое пожелает злоумышленник, включая такие имена, как «Критические обновления».

К счастью, есть способ уменьшить угрозу, удалив обработчик протокола search-ms из реестра Windows. Для этого запустите CMD от имени администратора, а затем выполните следующую команду: «reg delete HKEY_CLASSES_ROOT\search-ms /f».

Злоупотребление обработчиками протоколов URI в наши дни кажется высокой модой, поскольку ранее на этой неделе исследователи обнаружили, что киберпреступники злоупотребляют такой уязвимостью, обнаруженной в средстве диагностики поддержки Microsoft Windows (MSDT). С помощью вооруженного документа Word можно запустить обработчик протокола URI «ms-msdt», который, в свою очередь, может выполнять любые команды PowerShell.

Было обнаружено, что уязвимость, получившая название «Фоллина», использовалась злоумышленниками, спонсируемыми китайским государством, против международного тибетского сообщества.

• Это лучшие брандмауэры на данный момент

Через: BleepingComputer< /а>