Kerentanan Windows Diaktifkan Saat Membuka Dokumen Word

Peneliti telah menemukan kerentanan zero-day baru yang memungkinkan eksekusi malware dari jarak jauh. Masalahnya adalah Uniform Resource Identifier (URI) yang disebut search-ms, yang memungkinkan aplikasi dan tautan untuk menjalankan pencarian di komputer.

Versi modern dari sistem, termasuk Windows 11, 10, dan 7, memungkinkan Pencarian Windows untuk menelusuri file secara lokal dan pada host jarak jauh. Penyerang dapat menggunakan pengendali protokol untuk membuat, misalnya, direktori Center palsu Pembaruan Windows dan mengelabui pengguna agar membuka malware yang menyamar sebagai memperbarui. Namun, yang modern biasanya bereaksi terhadap file semacam itu dan memperingatkan pengguna, jadi kecil kemungkinannya untuk mendapatkan klik dengan cara ini. Tetapi scammers telah menemukan cara lain untuk mengeksploitasi kerentanan ini.

Ternyata, pengendali protokol pencarian-ms dapat digabungkan dengan kerentanan di Microsoft Office OLEObject, yang ditemukan lebih awal. Ini memungkinkan Anda untuk melewati perlindungan penjelajahan dan menjalankan penangan protokol URI tanpa interaksi pengguna.

Demonstrasi metode ini muncul di YouTube: file MS Word digunakan untuk meluncurkan aplikasi lain - dalam hal ini, kalkulator. Karena search-ms memungkinkan Anda mengubah nama kotak pencarian, peretas dapat menutupi antarmuka untuk menyesatkan korbannya.

Serupa dapat dicapai dan dengan dokumen RTF. Dalam hal ini, Anda bahkan tidak perlu memulai Word. Jendela pencarian baru diluncurkan saat Explorer membuat pratinjau file di panel pratinjau.

Microsoft memiliki instruksi tentang cara memperbaiki kerentanan ini. Menghapus pengendali protokol pencarian-ms dari registri Windows akan membantu melindungi sistem. Untuk ini:

• Tekan Win + R, ketik cmd dan tekan Ctrl + Shift + Enter untuk meluncurkan Command Prompt dengan hak administrator.
• Memasuki reg ekspor HKEY_CLASSES_ROOT\search-ms search-ms.reg dan tekan Enter untuk mencadangkan kunci.
• Setelah itu masuk reg hapus HKEY_CLASSES_ROOT\search-ms /f dan tekan Enter untuk menghapus kunci dari registri.

Microsoft sudah bekerja memperbaiki kerentanan dalam penangan protokol dan fungsi Windows terkait. Namun, para ahli mengatakan peretas akan menemukan penangan eksploitasi lain, dan Microsoft seharusnya mencegah penangan URL berjalan di aplikasi Office tanpa diminta pengguna.