Bad Outlook

Outlook 애플리케이션 인터페이스(COM 인터페이스)를 활용하여 특정 트리거 제목 줄에 따라 시스템에서 셸코드를 실행하는 간단한 PoC입니다.

Microsoft.Office.Interop.Outlook 네임스페이스를 사용하면 개발자가 전체 Outlook 애플리케이션을 표현할 수 있습니다(적어도 Microsoft에 따르면). 즉, 새 애플리케이션은 이메일 읽기(보관함, 휴지통 등 포함)부터 발송까지 모든 작업을 수행할 수 있어야 합니다.

수많은 기존 C# 셸코드 로더를 기반으로, 트리거 제목 줄과 본문에 base64로 인코딩된 셸코드가 포함된 이메일을 이 프로그램의 무장된 인스턴스가 있는 호스트로 보낼 수 있습니다. 그러면 프로그램이 이메일을 읽고 그 안에 포함된 셸코드를 실행합니다.

추가 참고 사항:

이메일을 통신 수단으로 사용하는 전체 C2 프레임워크를 구축하는 데 활용할 수 있습니다(임플란트가 인터넷에 직접 연결되지 않음).
애플리케이션이 Outlook 데이터에 액세스하려고 시도한다는 보안 경고가 나타나는 것으로 보입니다.
- 관리자가 레지스트리를 수정하면 이 경고를 끌 수 있습니다(여기에 설명된 대로).
- 소규모 테스트 결과 이 프로세스를 Outlook 클라이언트에 주입하면 경고가 나타나지 않는 것으로 확인되었습니다(추가 테스트는 매우 환영합니다 <3).