Bad Outlook

إثبات مفهوم بسيط يستخدم واجهة تطبيق Outlook (واجهة COM) لتنفيذ شيلكود على نظام بناءً على سطر موضوع مشغل محدد.

من خلال استخدام مساحة الاسم Microsoft.Office.Interop.Outlook، يمكن للمطورين تمثيل تطبيق Outlook بالكامل (أو على الأقل وفقًا لمايكروسوفت). هذا يعني أن التطبيق الجديد يجب أن يكون قادرًا على فعل أي شيء بدءًا من قراءة رسائل البريد الإلكتروني (نعم، هذا يشمل أيضًا الأرشيفات، سلة المهملات، إلخ) إلى إرسالها.

بالبناء على ملايين محملات شيلكود C# الموجودة مسبقًا، يمكن إرسال بريد إلكتروني مع سطر موضوع مشغل وشيلكود مشفر بـ base64 في نص البريد إلى المضيف الذي يحتوي على نسخة مسلحة من هذا البرنامج. سيقوم البرنامج بعد ذلك بقراءة البريد الإلكتروني وتنفيذ الشيلكود المضمن في البريد.

ملاحظات إضافية:

يمكن استخدام هذا لبناء إطار عمل C2 كامل يعتمد على رسائل البريد الإلكتروني كوسيلة للاتصال (حيث لا يتحدث البرنامج الخبيث مع الإنترنت مباشرة).
يبدو أن هناك تحذيرًا أمنيًا يخبر المستخدم أن تطبيقًا يحاول الوصول إلى بيانات Outlook
- يمكن إيقاف تشغيل هذا عندما يقوم مسؤول بتعديل التسجيل كما هو موضح هنا.
- أظهر الاختبار البسيط أن حقن هذه العملية في عميل Outlook لا يؤدي إلى ظهور التنبيه (سيكون الاختبار الإضافي موضع تقدير كبير <3)