Bad Outlook

Un simple PoC qui exploite l'Interface de l'Application Outlook (Interface COM) pour exécuter un shellcode sur un système en fonction d'une ligne d'objet de déclenchement spécifique.

En utilisant l'espace de noms Microsoft.Office.Interop.Outlook, les développeurs peuvent représenter l'intégralité de l'Application Outlook (ou du moins selon Microsoft). Cela signifie que la nouvelle application devrait être capable de tout faire, depuis la lecture des e-mails (oui, cela inclut également les archives, la corbeille, etc.) jusqu'à leur envoi.

S'appuyant sur les millions de chargeurs de shellcode C# préexistants, un e-mail avec une ligne d'objet de déclenchement et un shellcode codé en base64 dans le corps peut être envoyé à l'hôte avec une instance armée de ce programme. Le programme lira alors l'e-mail et exécutera le shellcode intégré dans l'e-mail.

Notes supplémentaires :

• Cela peut être utilisé pour construire un Framework C2 complet qui repose sur les e-mails comme moyen de communication (où l'implant ne parle jamais directement à Internet)
• Il semble y avoir un avertissement de sécurité qui informe l'utilisateur qu'une application tente d'accéder aux données Outlook
  • Cela peut être désactivé lorsque l'administrateur modifie le registre comme indiqué ici.
  • Des tests mineurs ont montré que l'injection de ce processus dans un client Outlook ne provoque pas l'affichage de l'alerte (Des tests supplémentaires seraient grandement appréciés <3)

PoC

Application interrogeant Outlook pour le déclencheur

E-mail déclencheur avec création de shellcode

E-mail reçu par le client Outlook

Exécution du shellcode par l'application BadOutlook