Vulnerabilidade do Windows é ativada ao abrir documentos do Word

Pesquisadores descoberto uma nova vulnerabilidade de um dia zero que permite a execução remota de malware. O problema era um Uniform Resource Identifier (URI) chamado search-ms, que permite que aplicativos e links executem pesquisas no computador.

Versões modernas do sistema, incluindo Windows 11, 10 e 7, permitem que o Windows Search procure arquivos localmente e em hosts remotos. Um invasor pode usar um manipulador de protocolo para criar, por exemplo, um diretório Center falso atualizações do Windows e enganar o usuário para abrir malware disfarçado de atualizar. No entanto, os modernos geralmente reagem a esses arquivos e avisam o usuário, portanto, há poucas chances de obter um clique dessa maneira. Mas os golpistas descobriram outras maneiras de explorar essa vulnerabilidade.

Como se viu, o manipulador de protocolo search-ms pode ser combinado com uma vulnerabilidade no Microsoft Office OLEObject, descoberta ainda antes. Ele permite que você ignore a proteção de navegação e execute manipuladores de protocolo URI sem interação do usuário.

Uma demonstração desse método apareceu no YouTube: um arquivo do MS Word foi usado para iniciar outro aplicativo - neste caso, uma calculadora. Como o search-ms permite alterar o nome da caixa de pesquisa, os hackers podem mascarar a interface para enganar suas vítimas.

Semelhante pode ser conseguida e com documentos RTF. Nesse caso, você nem precisa iniciar o Word. Uma nova janela de pesquisa é iniciada quando o Explorer renderiza uma visualização de um arquivo no painel de visualização.

A Microsoft tem instruções sobre como corrigir essa vulnerabilidade. A remoção do manipulador de protocolo search-ms do registro do Windows ajudará a proteger o sistema. Por esta:

• Pressione Win + R, digite cmd e pressione Ctrl + Shift + Enter para iniciar o prompt de comando com privilégios de administrador.
• Digitar reg export HKEY_CLASSES_ROOT\search-ms search-ms.reg e pressione Enter para fazer backup da chave.
• Depois disso entre reg delete HKEY_CLASSES_ROOT\search-ms /f e pressione Enter para remover a chave do registro.

Microsoft já funciona corrigir vulnerabilidades em manipuladores de protocolo e funções relacionadas do Windows. No entanto, especialistas dizem que os hackers encontrarão outros manipuladores de exploração, e a Microsoft deve impedir que manipuladores de URL sejam executados em aplicativos do Office sem avisar do utilizador.