Bad Outlook

特定のトリガー件名に基づいてシステム上でシェルコードを実行するために、Outlookアプリケーションインターフェース（COMインターフェース）を利用するシンプルなPoCです。

Microsoft.Office.Interop.Outlook名前空間を利用することで、開発者はOutlookアプリケーション全体を表現できます（少なくともMicrosoftによると）。つまり、新しいアプリケーションはメールの読み取り（アーカイブ、ゴミ箱なども含む）から送信まで、あらゆることができるはずです。

既存の数多くのC#シェルコードローダーを基に、トリガー件名と本文にbase64エンコードされたシェルコードを含むメールを、このプログラムの武器化されたインスタンスでホストに送信できます。プログラムはそのメールを読み取り、メールに埋め込まれたシェルコードを実行します。

補足事項:

これは、電子メールを通信手段として利用する完全なC2フレームワークを構築するために使用できます（インプラントがインターネットに直接通信しない場合）。
アプリケーションがOutlookデータにアクセスしようとしていることをユーザーに知らせるセキュリティ警告が表示されるようです。
- これは、管理者がレジストリを変更することでオフにできます（こちらを参照）。
- 簡単なテストでは、このプロセスをOutlookクライアントに注入しても警告は表示されませんでした（さらなるテストを歓迎します <3）