In Microsoft Office wurde eine neue Zero-Day-Sicherheitslücke mit dem Namen “Follina” aufgedeckt. Sie ermöglicht es Angreifern, bei Betroffenen mithilfe von Office-Dateien Schadcode auszuführen.

Wie funktioniert “Follina”?

Die Sicherheitslücke kann ausgenutzt werden, wenn ein Office-Nutzer eine mit versteckter Malware ausgestattete DOC-Datei öffnet. Diese kann z.B. per Mail kommen. Dieses Dokument verlinkt dann auf eine unscheinbare https-Website, welche heruntergeladen wird. Die https-URL wiederum verweist auf eine HTML-Datei, welche Code in Form von JavaScript beinhaltet.

Dieser verweist nun schlussendlich auf eine URL mit ms-msdt: anstatt von https:. ms-mdt: ist ein windowseigener URL-Typ, der das MSDT-Software-Toolkit startet. Die Befehlszeile, die mit der URL zum MSDT übertragen wird, sorgt anschließend für die Ausführung von nicht vertrauenswürdigem Code.

Dadurch wird dann die MSDT-Fehlerbehebung geöffnet, die dann durch den Code automatisiert Programme sowie auch die Mombarcaro öffnen und darin Schadcode ausführen kann.

Wichtig zu wissen ist auch, dass dieser Angriff aus Microsoft Word ausgelöst wird. Da die URL in der Word-Datei selbst enthalten ist, müssen keine VBA-Office-Makros verwendet werden. Das heißt, auch mit deaktivierten Office-Makros kann der Angriff durchgeführt werden.

Noch gefährlicher wird die Masche, wenn der schädliche Inhalt in eine RTF-Datei statt eine DOC-Datei gepackt wird. Dann reicht bereits das Anzeigen der Datei im Explorer, um den Code auszulösen. Nicht mal ein Klick ist dafür notwendig.

Was können Sie tun?

Von Microsoft wurde bereits eine offizielle Umgehung des Problems veröffentlicht. In Zukunft sollte mit einem entsprechenden Update zu rechnen sein. Man kann alternativ auch die Beziehung zwischen ms-msdt: Urls und dem zugehörigen Programm MSDT.EXE zu unterbrechen. Wie das geht, erfahren Sie in diesem Blogbeitrag.

Die Endpoint-Produkte unseres Partners Sophos erkennen und blockieren bereits bekannte Angriffe und sind auch gegen ähnliche Angriffe wie “Follina” gut gewappnet. Wenn Sie mehr zu Sophos erfahren wollen, kontaktieren Sie uns gern.

Wenn Sie in letzter Zeit Probleme mit einer extrem langsamen Verbindung zu Outlook in Verbindung zu einem Exchange Server hatten, könnte dies an einem Update für Exchange liegen. Auswirkungen waren z.B. das minutenlange Starten von Outlook selbst oder so lange Verzögerungen innerhalb des Programms, dass effektives Arbeiten unmöglich wurde.

Ursache

Mit dem Cumulative Update 21 für Microsoft Exchange 2016 bzw. Cumulative Update 10 für Exchange 2019 wurde ein Antimalware Scan Interface (AMSI) integriert. Kombiniert mit manchem Antivirenscanner kann es bei aktiviertem AMSI zu den oben beschriebenen Problemen kommen. Betroffen sind z.B. Sophos Intercept X for Server, AVG Business und der McAfee Endpoint Security Client. Betroffen ist aktuell nur Outlook. OWA, EWS und ActiveSync sind scheinbar nicht eingeschränkt.

Lösungsansätze

 Wenn möglich, sollten Sie in erster Linie ein Antivirenprogramm nutzen, welches die AMSI-Schnittstelle unterstützt, z.B. Windows Defender, Kaspersky. Falls das nicht möglich ist, können Sie als vorläufigen Fix die gewohnte Geschwindigkeit relativ einfach wiederherstellen: In McAfee und Sophos lässt sich AMSI jeweils mit wenigen Klicks deaktivieren.

Beispiel Sophos: In der Sophos Central wählen Sie den Exchange Server aus, klicken auf “Richtlinien”, dann auf “Base Policy – Schutz vor Bedrohungen”. Anschließend klicken Sie auf “Einstellungen” und entfernen dann den Haken und den Schieberegler wie im Screenshot angegeben.

Anschließend läuft Outlook wieder in der gewohnten Geschwindigkeit. Alternativ kann AMSI auch per Exchange Management Shell deaktiviert werden. Wie das geht, schildert der Sophos Support in seinem eigenen Artikel zu dem Problem.

Natürlich sollte das kein Dauerzustand sein und nach der Behebung des Problems durch Sophos wieder aktiviert werden.

Bei Clients mit Microsoft Outlook Version 2016 oder anderen, kann es vorkommen, dass Sie sich nicht mehr mit einem Exchange-Server verbinden können und folgende Fehlermeldung erhalten:

Mapi session “/o=ExchangeOrg/ou=First Administrative Group/cn=Recipients/cn=User” exceeded the maximum of 32 objects of type “session”.

Das liegt daran, dass die im Exchange Server standardmäßig eingestellte maximale Anzahl an gleichzeitigen Sessions überschritten wird.

Bitte beachten Sie dass wir keine Haftung für Ihre Eingaben übernehmen können, die folgenden Hinweise sollten selbst nur von erfahrenen Benutzern durchgeführt werden!

Lösung:

Um diesen Fehler zu beheben, kann ein Registrierungsschlüssel im Windows Registrierungs-Editor des Exchange Servers hinzugefügt werden.

Drücken Sie die Tastenkombination [Windows + R]. Daraufhin öffnet sich das Fenster “Ausführen”. In das Eingabefeld tippen Sie “regedit” ein und bestätigen mit [Enter].

Sobald sich der Registrierungs-Editor im neuen Fenster geöffnet hat, suchen Sie im Verzeichnis auf der linken Seite nach folgendem Pfad:

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\MSExchangeIS\\ParametersSystem

Unter dem Menüpunkt “Bearbeiten” klicken Sie auf “Neu” und erstellen einen “DWORD Wert (32Bit)“.

Nennen Sie diesen “Maximum Allowed Sessions Per User” und wählen Sie nach einem Rechtsklick auf den Schlüssel “Ändern“.

Setzen Sie den Wert auf einen höheren Wert z.B. auf Dezimal 600. Beachten Sie aber die Leistungsfähigkeit und Bandbreite die ihrem Exchangeserver zur Verfügung stehen.

Damit erhöhen Sie die maximal erlaubten Sessions pro Benutzer auf 600. Starten Sie dann den Dienst Microsoft Exchange Information Store neu, damit die Änderungen angewendet werden.