¡Nuevo hackeo! Detectan una vulnerabilidad en el AutoSave de Microsoft Office 365 que permite a los hackers robar tus archivos en la nube

Investigadores de la empresa de seguridad estadounidense Proofpoint, notificaron mediante un comunicado que descubrieron un fallo en Microsoft 365 muy peligroso, el cual permite a través de software malicioso lanzar ataques desde la nube en el momento que los usuarios realizan una edición a los archivos guardados en OneDrive o SharePoint Online.

Después del anuncio, Microsoft emitió un boletín indicando que es posible recuperar los archivos que hayan sido borrados en un plazo de 14 días y que para ello los usuarios deben utilizar el soporte técnico. Sin embargo desde Proofpoint sostuvieron que el servicio presentó inconsistencias al momento de realizar la búsqueda. Mientras tanto, lo importante es actuar con precaución y evitar acciones que puedan poner en riesgo la cuenta.

AutoSave; la función de Microsoft Office 365 con una vulnerabilidad crítica

Lo primero que permite la brecha que deja la función AutoSave es el acceso de un usuario no autorizado a las cuentas en la nube OneDrive o SharePoint Online, valiéndose de técnicas de phishing o utilizando un archivo oculto para engañar y que se autorice el ingreso de terceros. Una vez que se accede, se filtran y cifran los archivos para hacerse cargo de todo el contenido.

Otra de las acciones que hace el archivo malicioso es multiplicar la cantidad de versiones de un documento y seguidamente realizar un cifrado doble. Esto, en la mayoría de los casos convierte a los archivos en irrecuperables por dos motivos; no se posee una clave de seguridad para desbloquearlos ni tampoco una copia de respaldo.

El intruso se vale del guardado automático, que es la función que crea un respaldo cuando se modifica un archivo en la nube y la secuencia puede ser fácilmente ejecutada con la combinación API de Microsoft, los scripts de PowerShell o con los comandos CLI.

Proofpoint says the Microsoft Office 365 “AutoSave” feature can be used to ransom files stored on SharePoint and OneDrive accounts

Any thoughts on this, fam?https://t.co/AFj72JHAUy pic.twitter.com/yAqr9q325N

— Catalin Cimpanu (@campuscodi) June 16, 2022

La recomendación que hacen los expertos para librarse de estos ataques o, en todo caso, protegerse es crear contraseñas que sean robustas y seguras; no descargar ficheros en equipos desactualizados o que contengan versiones antiguas del software; y proteger de forma personal los archivos que estén almacenados en la nube realizando copias de seguridad. Así, cuando un atacante decida comprometer los documentos le costará mucho más y es muy probable que no pueda acceder a ellos.

No es la primera vulnerabilidad de Microsoft Office 365

Office es la principal suite de oficina y se encuentra instalada en millones de equipos, lo que lleva a que los ciberdelincuentes busquen formas de aprovechar cualquier brecha que se deje luego de una actualización, provocando de esta forma que se infecte un archivo y así afectar el resto de las aplicaciones instaladas.

Por citar un caso, durante el 2021 se realizaron 25.600 millones de ataques con la intención de robar contraseñas, valiéndose de “fuerza bruta” y Phishing. Esto no solamente afecta a los usuarios domésticos, sino que las cuentas empresariales también sufren.

Entre las recomendaciones que dan los expertos de Microsoft están activar la autenticación en dos pasos y utilizar antivirus potentes en los equipos. Pero ante todo, hay que tener sentido común para evitar caer en las trampas que buscan cazar incautos.

En el mes de mayo de 2022, también se identificó un archivo malicioso que aprovechaba una brecha llamada “Zero day” que ejecutaba el código una vez que se recibía, incluso sin abrir el documento y teniendo deshabilitado el uso de macros.

Rápidamente el atacante tenía acceso a los documentos almacenados en el ordenador con la misión principal de recopilar todas las contraseñas guardadas. Un detalle destacado es que el daño podía ser causado desde la versión 2013 de Office hasta la más reciente.

Por otro lado, durante el último trimestre del 2021 se enviaron archivos office infectados con apariencia legítima. Pero, una vez que se hacía clic y se descargaba, inmediatamente se redirigía a Internet Explorer desde donde se instalaba un malware que infectaba automáticamente el sistema. Este fallo principalmente afectó a Windows 7, 8 y 10 aparte de las versiones server en adelante.

Resumiendo las principales formas de ataque que se han utilizado en los últimos años, hay que nombrar los falsos correos electrónicos que contienen notificaciones de nuevos mensajes, la recepción de archivos compartidos, alertas informando que la bandeja de entrada está llena y que se debe borrar datos para liberar espacio.

Una vez que el usuario cae en la trampa y concede las libertades, se manipulan las cuentas o se clona su contenido, se infecta la librería de Office, se coloca malware y se recolecta información valiosa, entre otras cosas.

Algunas medidas adicionales que cualquier persona con Microsoft instalado en su ordenador puede tomar pasan por habilitar las alertas en caso de notar alguna actividad sospechosa, activar la función de Secure Score, asignar roles de administrador y configurar la autenticación de dos factores aún cuando se esté utilizando la cuenta con privilegios de administrador.