Bad Outlook

Un PoC simple que aprovecha la Interfaz de la Aplicación de Outlook (Interfaz COM) para ejecutar shellcode en un sistema basado en una línea de asunto de activación específica.

Al utilizar el espacio de nombres Microsoft.Office.Interop.Outlook, los desarrolladores pueden representar toda la Aplicación de Outlook (o al menos según Microsoft). Esto significa que la nueva aplicación debería ser capaz de hacer cualquier cosa, desde leer correos electrónicos (sí, esto también incluye archivos, papelera, etc.) hasta enviarlos.

Basándose en los millones de cargadores de shellcode en C# preexistentes, se puede enviar un correo electrónico con una línea de asunto de activación y shellcode codificado en base64 en el cuerpo al host con una instancia armada de este programa. El programa leerá entonces el correo electrónico y ejecutará el shellcode incrustado en el mismo.

Notas Adicionales:

• Esto puede usarse para construir un Framework C2 completo que dependa de correos electrónicos como medio de comunicación (donde el Implant nunca habla directamente con Internet)
• Parece haber una advertencia de seguridad que informa al usuario de que una aplicación está intentando acceder a los datos de Outlook
  • Esto se puede desactivar cuando un administrador modifica el registro como se muestra aquí.
  • Pruebas menores mostraron que inyectar este proceso en un cliente de Outlook no provoca que aparezca la alerta (Se agradecerían muchas más pruebas <3)

PoC