Vulnerabilidad de Microsoft MSHTML explotada para distribuir la herramienta de spyware MerkSpy

Pero abrir el archivo desencadena la explotación de CVE-2021-40444, una vulnerabilidad de alta gravedad en MSHTML que podría resultar en la ejecución remota de código sin requerir ninguna interacción del usuario. Microsoft abordó este problema como parte de las actualizaciones de Patch Tuesday lanzadas en septiembre de 2021.

En este caso, allana el camino para la descarga de un archivo HTML («olerender.html») desde un servidor remoto que, a su vez, inicia la ejecución de un shellcode incrustado después de verificar la versión del sistema operativo.

«Olerender.html» aprovecha «VirtualProtect» para modificar los permisos de memoria, permitiendo que el shellcode decodificado se escriba de manera segura en la memoria», explicó Lin.

«Después de esto, ‘CreateThread’ ejecuta el shellcode inyectado, preparando el escenario para descargar y ejecutar la siguiente carga útil desde el servidor del atacante. Este proceso asegura que el código malicioso se ejecute sin problemas, facilitando una mayor explotación.»

El shellcode sirve como descargador de un archivo que está engañosamente titulado «GoogleUpdate» pero que, en realidad, alberga una carga útil de inyección responsable de evadir la detección por parte del software de seguridad y cargar MerkSpy en la memoria.

El spyware establece persistencia en el host a través de cambios en el Registro de Windows de manera que se lanza automáticamente al iniciar el sistema. También viene con capacidades para capturar información sensible de manera clandestina, monitorear actividades del usuario y exfiltrar datos a servidores externos bajo el control de los actores de amenazas.