Bad Outlook

Un semplice PoC che sfrutta l'interfaccia dell'applicazione Outlook (interfaccia COM) per eseguire shellcode su un sistema basato su una specifica riga dell'oggetto di attivazione.

Utilizzando lo spazio dei nomi Microsoft.Office.Interop.Outlook, gli sviluppatori possono rappresentare l'intera applicazione Outlook (o almeno secondo Microsoft). Ciò significa che la nuova applicazione dovrebbe essere in grado di fare qualsiasi cosa, dalla lettura delle email (sì, inclusi archivi, cestino, ecc.) all'invio delle stesse.

Basandosi sui milioni di caricatori di shellcode C# preesistenti, un'email con una riga dell'oggetto di attivazione e shellcode codificato in base64 nel corpo può essere inviata all'host con un'istanza armata di questo programma. Il programma leggerà quindi l'email ed eseguirà lo shellcode incorporato nell'email.

Note aggiuntive:

• Questo può essere utilizzato per costruire un intero framework C2 che si basa sulle email come mezzo di comunicazione (dove l'impianto non parla mai direttamente con Internet)
• Sembra esserci un avviso di sicurezza che informa l'utente di un tentativo di accesso ai dati di Outlook da parte di un'applicazione
  • Questo può essere disattivato quando un amministratore modifica il registro come mostrato qui.
  • Test minori hanno mostrato che l'iniezione di questo processo in un client Outlook non causa la comparsa dell'avviso (ulteriori test sarebbero molto apprezzati <3)

PoC

Applicazione che interroga Outlook per l'attivazione

Email di attivazione con creazione dello shellcode

Email ricevuta dal client Outlook

Esecuzione dello shellcode da parte dell'applicazione BadOutlook