Follina, Windows’un Microsoft Support Diagnostic Tool (MSDT) bileşenini kötüye kullanarak zararlı bir Office belgesinin açılmasıyla saldırgan komutlarının çalıştırılmasına olanak veren bir zafiyettir. 2022 ortasında CVE-2022-30190 koduyla kayda geçmiş ve makro çalıştırmaya bile gerek bırakmadığı için hızla dikkat çekmiştir.

Follina, kullanıcının makro etkinleştirmesine gerek kalmadan yalnızca bir belgeyi açmasıyla kod çalıştırabilen, uygulama ile işletim sistemi arasındaki güven ilişkisini istismar eden bir zafiyettir.

Saldırı Nasıl Gerçekleşir?

Zararlı Word belgesi, uzaktaki bir sunucudan HTML çeken bir dış referans içerir. Bu HTML, ms-msdt: adlı özel bir protokol bağlantısını tetikler ve MSDT’ye çalıştırılmak üzere kodlanmış bir PowerShell komutu geçirir. Belge önizleme panelinde görüntülendiğinde bile zincir başlayabildiği için, kullanıcının dosyayı tam olarak açması dahi şart olmaz.

Neden Bu Kadar Tehlikeli Görüldü?

Follina açıklandığında etkin bir yama bulunmadığından bir süre boyunca Sıfırıncı gün saldırısı niteliği taşıdı ve saldırganlara geniş bir fırsat penceresi tanıdı. Makrolara dayanmaması, kurumların yıllardır güvendiği “makroları kapat” savunmasını işlevsiz bıraktı; bu yüzden hem casusluk grupları hem de finansal amaçlı çeteler kısa sürede kampanyalarına ekledi.

Tespit ve Önleme

Kalıcı çözüm, Microsoft’un yayımladığı güncellemenin uygulanmasıdır; bu nedenle sağlam bir Yama yönetimi süreci Follina benzeri belge tabanlı zafiyetlere karşı ilk savunma hattını oluşturur. Yamanın gecikeceği ortamlarda MSDT URL işleyicisini geçici olarak devre dışı bırakmak, saldırının tetikleyici halkasını koparır.

Davranışsal izleme de en az yama kadar önemlidir. Office uygulamalarının msdt.exe veya PowerShell gibi süreçleri başlatması alışılmadık bir olaydır ve Uç nokta güvenliği çözümlerinin yakalaması gereken tipik bir göstergedir. Bu tür ebeveyn-çocuk süreç ilişkilerini kural hâline getirmek, henüz imzası bilinmeyen varyantları bile ortaya çıkarabilir.

Bir belge açıldıktan sonra şüpheli süreçler gözlendiğinde, sızıntının kapsamını ve saldırganın attığı sonraki adımları anlamak için olay inceleme ve olay müdahalesi devreye girmelidir. Follina genellikle bir kampanyanın yalnızca ilk aşamasıdır; asıl zararın hangi sistemlere ulaştığı ancak bu inceleme ile netleşir.