Bad Outlook

Um PoC simples que aproveita a Interface do Aplicativo Outlook (Interface COM) para executar shellcode em um sistema com base em uma linha de assunto de gatilho específica.

Ao utilizar o namespace Microsoft.Office.Interop.Outlook, os desenvolvedores podem representar todo o Aplicativo Outlook (ou pelo menos de acordo com a Microsoft). Isso significa que o novo aplicativo deve ser capaz de fazer qualquer coisa, desde ler e-mails (sim, isso também inclui arquivos, lixeira, etc.) até enviá-los.

Com base nos milhões de carregadores de shellcode C# pré-existentes, um e-mail com uma linha de assunto de gatilho e shellcode codificado em base64 no corpo pode ser enviado ao host com uma instância armada deste programa. O programa então lerá o e-mail e executará o shellcode incorporado no e-mail.

Notas Adicionais:

Isso pode ser usado para construir um Framework C2 completo que depende de E-mails como meio de comunicação (Onde o Implant nunca se comunica diretamente com a internet)
Parece haver um aviso de segurança que informa ao usuário sobre um aplicativo tentando acessar dados do Outlook
- Isso pode ser desativado quando um administrador modifica o registro conforme mostrado aqui.
- Testes menores mostraram que injetar este processo em um cliente Outlook não faz com que o alerta apareça (Testes adicionais seriam muito apreciados <3)