Con l'introduzione di Windows 10, Microsoft ha iniziato un lento percorso di abbandono del vecchio Pannello di Controllo in favore di una nuova schermata Impostazioni costruita secondo i principi del Modern Design.

Ora però Matt Nelson, esperto di sicurezza di SpecterOps, ha scoperto che il nuovo formato di file .SettingContent-ms introdotto con questa novità costituisce un potenziale problema di sicurezza.

.SettingContent-ms altro non è che un file XML usato per creare le scorciatoie alle pagine della schermata Impostazioni e che contiene un tag < DeepLink > per specificare dove, sul disco, si trovi quella particolare pagina.

Consigliamo la lettura di:

La falla in Outlook che consente di rubare facilmente le password di Windows

Falla vecchia di 17 anni in Microsoft Office

Il malware che si diffonde con PowerPoint

Un PC con Outlook è ancora infettabile guardando una mail

Il problema sta nel fatto che è possibile sostituire il contenuto del tag con pressoché qualsiasi altro eseguibile binario presente nel sistema, compresi file binari come gli interpreti di comandi Cmd.exe e PowerShell.exe. Non solo: è ancora possibile impostare l'esecuzione di due file eseguibili in sequenza.

A questo punto il pericolo dovrebbe essere chiaro: un utente potrebbe essere facilmente indotto a far doppio clic su quella che apparentemente è una scorciatoia per una delle impostazioni di Windows ma invece è un file pericoloso, eventualmente anche ospitato da un server remoto.

Quando si clicca su un file del tipo .SettingContent-ms, infatti, i normali controlli eseguiti da Windows 10 e Windows Defender sui file remoti non sono attivi: quindi qualunque malware può essere ottenuto ed eseguito «senza alcuna notifica o avvertimento per l'utente».

A peggiorare le cose c'è il fatto che è possibile nascondere una scorciatoia .SettingContent-ms all'interno di un documento di Office usando OLE (Object Linking and Embedding): il tipo di file in questione, infatti, non è elencato tra quelli potenzialmente pericolosi e per il quali l'inserimento tramite OLE è stato disabilitato da Microsoft proprio per prevenire l'inclusione di file pericolosi.

Se a ciò si aggiunge che .SettingContent-ms è capace di aggirare la funzione Attack Surface Reduction (ASR) di Windows 10, si capisce come gli elementi per ritenere questo comportamento alla stregua di una pericolosa vulnerabilità ci siano tutti.

Microsoft, però, contattata da Nelson ha risposto di non considerarla tale, e pertanto non ci sarà alcuna patch in proposito nel prossimo Martedì delle Patch.

È tuttavia probabile che il tipo di file .SettingContent-ms venga incluso nella lista nera di OLE, così da disabilitarne l'inserimento nei documenti di Office e limitare in tal modo la portata dell'attacco.

Qui sotto un video realizzato da Matt Nelson e che mostra come si possa eseguire un file scaricato da Internet tramite .SettingContent-ms.