A Microsoft relatou uma vulnerabilidade 0-day, designada CVE-2021-40444, cuja exploração permite a execução remota de código malicioso nos computadores das vítimas. Pior é que cibercriminosos já estão usando a fragilidade para atacar usuários do Microsoft Office. Portanto, a Microsoft está aconselhando os administradores de rede do Windows a empregar uma solução temporária até que a empresa possa implantar uma patch.
CVE-2021-40444 em detalhes
A vulnerabilidade está no MSHTML, o mecanismo do Internet Explorer. Embora poucas pessoas usem o Internet Explorer atualmente (até a Microsoft recomenda fortemente a mudança para seu navegador mais recente, o Edge), o browser antigo continua sendo um componente dos sistemas operacionais atuais, e alguns outros programas usam seu mecanismo para lidar com o conteúdo da web. Em particular, os aplicativos do Microsoft Office, como Word e PowerPoint, contam com ele.
Como os invasores estão explorando a CVE-2021-40444
Os ataques aparecem como controles ActiveX maliciosos incorporados em documentos do Microsoft Office. Os controles permitem a execução de código arbitrário; os documentos provavelmente chegam como anexos de mensagens de e-mail. Como acontece com qualquer arquivo anexado, os invasores precisam persuadir as vítimas a abrí-los.
Em teoria, o Microsoft Office lida com documentos recebidos pela Internet no Modo de Exibição Protegido ou por meio do Application Guard for Office, ambos os quais podem impedir um ataque CVE-2021-40444. No entanto, os usuários podem clicar no botão Habilitar Edição sem parar para pensar, desarmando assim os mecanismos de segurança da Microsoft.
![Notificação do modo de exibição protegida no Microsoft Word](https://media.kasperskydaily.com/wp-content/uploads/sites/94/2021/09/13171136/CVE-2021-40444-vulnerability-mshtml-notification.png)
Notificação do modo de exibição protegida no Microsoft Word
Como proteger sua empresa da CVE-2021-40444
A Microsoft prometeu investigar e, se necessário, lançar uma patch oficial. Dito isso, não esperamos uma correção antes de 14 de setembro, a próxima Patch Tuesday. Em circunstâncias normais, a empresa não anunciaria uma brecha de segurança antes do lançamento de uma correção, mas como os cibercriminosos já estão explorando o CVE-2021-40444, a Microsoft recomenda o emprego de uma solução temporária imediatamente.
A solução alternativa envolve proibir a instalação de novos controles ActiveX, o que você pode fazer adicionando algumas chaves ao registro do sistema. A Microsoft fornece informações detalhadas sobre a vulnerabilidade, incluindo uma seção com soluções alternativas (na qual você também pode aprender como desabilitar a solução alternativa quando não precisar mais dela). De acordo com a Microsoft, a solução alternativa não deve afetar o desempenho dos controles ActiveX já instalados.
De nossa parte, recomendamos:
- Installing a [KSMail placeholder]security solution at the corporate mail gateway level[/KSMail placeholder] or [KSO365 placeholder]enhancing Microsoft Office 365’s standard security mechanisms[/KSO365 placeholder] to protect corporate mail from attacks;
- Instalar uma solução de segurança no nível de gateway no e-mail corporativo ou aprimorar os mecanismos de segurança padrão do Microsoft Office 365 para proteger o e-mail corporativo de ataques;
- Equipar todos os computadores dos funcionários com soluções de segurança capazes de detectar a exploração de vulnerabilidades;
- Conscientizar os funcionários sobre as ciberameaças modernas e, em particular, lembrá-los de nunca abrir documentos de fontes não confiáveis, muito menos ativar o modo de edição, a menos que seja absolutamente necessário.