Ciekawa podatność zero-day w Windows, wykorzystywana przez ostatni rok. Pewnym trickiem można zmylić użytkownika żeby wykonał złośliwy kod.

Zaczyna się od pliku tego typu tutajcosciekawego.pdf.url do którego link jest podrzucany użytkownikowi (np. phishingiem). Po zapisaniu pliku, wygląda on pod Windowsem tak:

Ale skąd tutaj się wzięła ikonka PDFa? Wszystko za sprawą zawartości pliku .url, która wyglądała mniej więcej tak (patrz dwie ostatnie linijki, które odpowiadają za podmianę domyślnej ikonki):

[InternetShortcut]
URL=https://sekurak.pl/
IconIndex=13
IconFile=C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe

Dalej, atakujący byli w stanie otworzyć wskazany w pliku adres za pomocą Internet Explorera (przypominajka: mimo tego, że w Windows mamy przeglądarkę Edge, to mamy też Internet Explorera – wiecie, kompatybilność wsteczna i takie sprawy). Tutaj trick był taki (zwróć uwagę na fragmenty: mhtml oraz !x-usc)

URL=mhtml:https://sekurak.pl/test.html!x-usc:http://sekurak.pl/test.html

To jest właśnie wspomniana luka 0-day, załatana parę dni temu (CVE-2024-38112)

No więc link otwierał się w Internet Explorerze, a w kolejnym kroku użytkownik przekierowywany był do mniej więcej takiego adresu:
http://sekurak.pl/cosciekawego.pdf%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20.hta

Dzięki temu Internet Explorer wyświetlał komunikat czy otworzyć plik cosciekawego.pdf (spacje powodowały, że złośliwe rozszerzenie .hta nie mieściło się na ekranie – tj. nie było widoczne).
Na zrzucie poniżej zauważ fragment zaznaczony na czerwono oraz trzy kropki po prawej stronie:

Jeśli użytkownik kliknął “Otwórz” to wykonywał na swoim Windows złośliwy kod. No prawie, bo musiał zaakceptować jeszcze jeden alert:

Badacze zaznaczają że luka mogła być wykorzystywana w realnych atakach aż od początku 2023 roku.

~Michał Sajdak