建站
咨詢
售后
建站咨詢
新聞中心
安全研究人員發(fā)現(xiàn)了一個新的Windows Search零日漏洞，攻擊者可以通過啟動Word文檔來加以利用。該漏洞將允許威脅行為者自動打開一個搜索窗口，其中包含受感染系統(tǒng)上遠程托管的惡意可執(zhí)行文件。
成都創(chuàng)新互聯(lián)公司長期為上千多家客戶提供的網(wǎng)站建設(shè)服務(wù)，團隊從業(yè)經(jīng)驗10年，關(guān)注不同地域、不同群體，并針對不同對象提供差異化的產(chǎn)品和服務(wù)；打造開放共贏平臺，與合作伙伴共同營造健康的互聯(lián)網(wǎng)生態(tài)環(huán)境。為江門企業(yè)提供專業(yè)的成都網(wǎng)站設(shè)計、做網(wǎng)站，江門網(wǎng)站改版等技術(shù)服務(wù)。擁有十多年豐富建站經(jīng)驗和眾多成功案例,為您定制開發(fā)。
由于Windows的URI協(xié)議處理程序“search-ms”可以使用應(yīng)用程序和 HTML 鏈接在設(shè)備上進行自定義搜索，因此利用此漏洞是可能的。盡管該協(xié)議旨在促進使用本地設(shè)備索引的 Windows 搜索，但黑客可以強制操作系統(tǒng)在遠程主機上執(zhí)行文件共享查詢。
不僅如此，威脅參與者還可以利用此漏洞為搜索窗口使用自定義標題。在成功的攻擊中，犯罪者可以配置遠程Windows共享托管惡意軟件，偽裝成補丁或安全更新，然后將惡意 search-ms URI包含在網(wǎng)絡(luò)釣魚電子郵件或附件中。然而，讓目標打開這樣的鏈接對攻擊者來說可能具有挑戰(zhàn)性。嘗試打開URL會在系統(tǒng)上觸發(fā)警告，提醒用戶某個站點正在嘗試訪問Windows資源管理器。
在這種情況下，用戶需要通過單擊附加按鈕來確認他們的操作。然而，正如安全研究員 Matthew Hickey 所證明的那樣，將 search-ms 協(xié)議處理程序與另一個新發(fā)現(xiàn)的 Office OLEObject 漏洞配對可以讓黑客通過簡單地打開 Word 文檔來啟動自定義搜索窗口。要使漏洞利用，用戶需要打開誘餌 Word 文檔，然后從自定義搜索窗口啟動惡意可執(zhí)行文件共享。攻擊者可以將可執(zhí)行文件偽裝成關(guān)鍵的安全更新，誘騙用戶在他們的系統(tǒng)上啟動它。更糟糕的是，Hickey 還展示了攻擊者可以創(chuàng)建富文本格式 (RTF) 文件，通過資源管理器中的預(yù)覽選項卡自動啟動自定義 Windows 搜索窗口，而無需打開文檔。
安全研究人員建議對新發(fā)現(xiàn)的漏洞采取以下緩解措施：
- 以管理員身份運行命令提示符
- 在CMD中運行reg export HKEY_CLASSES_ROOT\search-msfilename備份注冊表項reg 3、在CMD中執(zhí)行reg delete HKEY_CLASSES_ROOT\search-ms /f
Windows Search漏洞是在關(guān)鍵的Microsoft Office零日漏洞“Follina”出現(xiàn)后不久發(fā)現(xiàn)的。后者可以通過Microsoft診斷工具(MSDT)在PowerShell遠程代碼執(zhí)行攻擊中被利用。
參考來源：https://www.bitdefender.com/blog/hotforsecurity/new-windows-search-zero-day-vulnerability-can-be-exploited-by-remotely-hosted-malware/
網(wǎng)站標題：新的Windows搜索零日漏洞可被遠程托管惡意軟件利用
本文URL：http://fisionsoft.com.cn/article/djsdche.html
