Bad Outlook

एक सरल PoC जो Outlook एप्लिकेशन इंटरफ़ेस (COM इंटरफ़ेस) का उपयोग करके एक विशिष्ट ट्रिगर विषय पंक्ति के आधार पर सिस्टम पर शेलकोड निष्पादित करता है।

Microsoft.Office.Interop.Outlook नाम स्थान का उपयोग करके, डेवलपर्स संपूर्ण Outlook एप्लिकेशन का प्रतिनिधित्व कर सकते हैं (या कम से कम Microsoft के अनुसार)। इसका मतलब है कि नया एप्लिकेशन ईमेल पढ़ने (हाँ, इसमें संग्रह, कचरा आदि भी शामिल हैं) से लेकर उन्हें भेजने तक सब कुछ करने में सक्षम होना चाहिए।

पहले से मौजूद लाखों C# शेलकोड लोडरों पर आधारित, एक ट्रिगर विषय पंक्ति और बॉडी में बेस64 एन्कोडेड शेलकोड वाला ईमेल इस प्रोग्राम के एक हथियारबंद उदाहरण के साथ होस्ट को भेजा जा सकता है। प्रोग्राम तब ईमेल पढ़ेगा और ईमेल में एम्बेडेड शेलकोड को निष्पादित करेगा।

अतिरिक्त नोट्स:

• इसका उपयोग एक संपूर्ण C2 फ्रेमवर्क बनाने के लिए किया जा सकता है जो संचार के साधन के रूप में ई-मेल पर निर्भर करता है (जहां इम्प्लांट सीधे इंटरनेट से बात नहीं करता है)
• एक सुरक्षा चेतावनी प्रतीत होती है जो उपयोगकर्ता को Outlook डेटा तक पहुँचने का प्रयास करने वाले एप्लिकेशन के बारे में सूचित करती है
  • इसे तब बंद किया जा सकता है जब कोई व्यवस्थापक रजिस्ट्री को संशोधित करता है जैसा यहाँ दिखाया गया है।
  • मामूली परीक्षण से पता चला कि इस प्रक्रिया को Outlook क्लाइंट में इंजेक्ट करने से अलर्ट प्रकट नहीं होता है (अतिरिक्त परीक्षण की बहुत सराहना की जाएगी <3)

PoC

ट्रिगर के लिए एप्लिकेशन पोलिंग Outlook

शेलकोड निर्माण के साथ ट्रिगर ईमेल

Outlook क्लाइंट द्वारा प्राप्त ईमेल

बैडआउटलुक एप्लिकेशन द्वारा शेलकोड निष्पादन