يستغل المتسللون المدعومون من الصين ثغرة أمنية غير مصححة في مايكروسوفت أوفيس تعرف باسم Follina لتنفيذ تعليمات برمجية ضارة عن بعد عبر أنظمة ويندوز.

ويتم استخدام الثغرة العالية الخطورة – التي يتم تتبعها على أنها CVE-2022-30190 – في الهجمات لتنفيذ أوامر PowerShell الضارة عبر أداة تشخيص مايكروسوفت عند فتح أو معاينة مستندات أوفيس المعدة خصيصًا.

ويشير التحليل الحالي إلى أن Follina تؤثر في أوفيس 2013 و 2016 و 2019 و 2021 وأوفيس برو بلس وأوفيس 365.

ويعمل الخلل دون امتيازات مرتفعة، ويتجاوز اكتشاف ويندوز ديفندر. ولا يحتاج إلى تعليمات ماكرو البرمجية ليتم تمكينه لتنفيذ البرامج النصية.

ويمكن للخلل التحايل أيضًا على ميزة العرض المحمي من مايكروسوفت، وهي إحدى أدوات أوفيس التي تحذر من الملفات والمستندات التي يحتمل أن تكون ضارة.

وحذر الباحثون من أن تحويل المستند إلى ملف RTF قد يسمح للمهاجمين بتجاوز هذا التحذير. كما يمكن استغلال الثغرة دون أي نقرات عبر التمرير فوق ملف لمعاينته تم تنزيله.

وحذرت عملاقة البرمجيات من أن الخلل يسمح للهماجمين بتثبيت البرامج وحذف البيانات وإنشاء حسابات جديدة في السياق الذي تسمح به حقوق المستخدم.

ولاحظ باحثو الأمن السيبراني أن المتسللين يستغلون الثغرة لاستهداف المستخدمين الروس وبيلاروسيا منذ شهر أبريل.

وقالت شركة Proofpoint لأمن المؤسسات: تستغل مجموعة قرصنة صينية ترعاها الدولة الثغرة في الهجمات التي تستهدف المجتمع التبتي الدولي.

وتستهدف مجموعة TA413 المنظمات التبتية من خلال استخدام إضافات المتصفحات الضارة وحملات التجسس تحت عنوان فيروس كورونا. وتعرف المجموعة أيضًا باسم LuckyCat و Earth Berberoka.