Bad Outlook

Ein einfacher PoC, der die Outlook-Anwendungsschnittstelle (COM-Schnittstelle) nutzt, um Shellcode auf einem System basierend auf einer bestimmten Auslöser-Betreffzeile auszuführen.

Durch die Nutzung des Namespace Microsoft.Office.Interop.Outlook können Entwickler die gesamte Outlook-Anwendung darstellen (oder zumindest laut Microsoft). Das bedeutet, dass die neue Anwendung in der Lage sein sollte, alles zu tun, vom Lesen von E-Mails (ja, das umfasst auch Archive, Papierkorb usw.) bis zum Senden.

Aufbauend auf den Millionen bereits existierenden C#-Shellcode-Ladern kann eine E-Mail mit einer Auslöser-Betreffzeile und base64-kodiertem Shellcode im Textkörper an den Host mit einer bewaffneten Instanz dieses Programms gesendet werden. Das Programm liest dann die E-Mail und führt den darin eingebetteten Shellcode aus.

Zusätzliche Hinweise:

Dies kann verwendet werden, um ein vollständiges C2-Framework aufzubauen, das auf E-Mails als Kommunikationsmittel angewiesen ist (bei dem das Implantat nie direkt mit dem Internet spricht).
Es scheint eine Sicherheitswarnung zu geben, die den Benutzer darüber informiert, dass eine Anwendung versucht, auf Outlook-Daten zuzugreifen.
- Diese kann deaktiviert werden, wenn ein Administrator die Registrierung ändert, wie hier gezeigt.
- Kleinere Tests haben gezeigt, dass das Injizieren dieses Prozesses in einen Outlook-Client die Warnung nicht auslöst (Weitere Tests wären sehr willkommen <3)