La vulnérabilité Windows s'active lors de l'ouverture de documents Word

Des chercheurs découvert une nouvelle vulnérabilité zero-day qui permet l'exécution à distance de logiciels malveillants. Le problème était un URI (Uniform Resource Identifier) ​​appelé search-ms, qui permet aux applications et aux liens d'exécuter des recherches sur l'ordinateur.

Les versions modernes du système, y compris Windows 11, 10 et 7, permettent à Windows Search de parcourir les fichiers localement et sur des hôtes distants. Un attaquant peut employer un gestionnaire de protocole pour créer, par exemple, un faux répertoire Center Windows met à jour et incite l'utilisateur à ouvrir des logiciels malveillants déguisés en mettre à jour. Cependant, les fichiers modernes réagissent généralement à ces fichiers et avertissent l'utilisateur, il y a donc peu de chances d'obtenir un clic de cette manière. Mais les escrocs ont découvert d'autres moyens d'exploiter cette vulnérabilité.

Il s'est avéré que le gestionnaire de protocole search-ms peut être combiné avec une vulnérabilité dans Microsoft Office OLEObject, découverte encore plus tôt. Il vous permet de contourner la protection de la navigation et d'exécuter des gestionnaires de protocole URI sans interaction de l'utilisateur.

Une démonstration de cette méthode est apparue sur YouTube: un fichier MS Word a été utilisé pour lancer une autre application - dans ce cas, une calculatrice. Parce que search-ms vous permet de changer le nom du champ de recherche, les pirates peuvent masquer l'interface pour tromper leurs victimes.

Similaire peut être atteint et avec des documents RTF. Dans ce cas, vous n'avez même pas besoin de démarrer Word. Une nouvelle fenêtre de recherche est lancée lorsque l'Explorateur affiche un aperçu d'un fichier dans le volet d'aperçu.

Microsoft a des instructions sur la façon de corriger cette vulnérabilité. La suppression du gestionnaire de protocole search-ms du registre Windows aidera à protéger le système. Pour ça:

• Appuyez sur Win + R, tapez cmd et appuyez sur Ctrl + Maj + Entrée pour lancer l'invite de commande avec les privilèges d'administrateur.
• Entrer reg export HKEY_CLASSES_ROOT\search-ms search-ms.reg et appuyez sur Entrée pour sauvegarder la clé.
• Après cela entrez reg supprimer HKEY_CLASSES_ROOT\search-ms /f et appuyez sur Entrée pour supprimer la clé du registre.

Microsoft déjà œuvres correction des vulnérabilités dans les gestionnaires de protocole et les fonctions Windows associées. Cependant, les experts disent que les pirates trouveront d'autres gestionnaires d'exploits, et Microsoft devrait plutôt empêcher les gestionnaires d'URL de s'exécuter dans les applications Office sans invite utilisateur.