Bad Outlook

Простая PoC (Proof of Concept), использующая интерфейс приложения Outlook (COM Interface) для выполнения шеллкода на системе на основе заданной темы триггерного письма.

Используя пространство имен Microsoft.Office.Interop.Outlook, разработчики могут представить все приложение Outlook (или, по крайней мере, согласно Microsoft). Это означает, что новое приложение должно быть способно делать всё: от чтения писем (да, включая архивы, корзину и т.д.) до их отправки.

Опираясь на миллионы уже существующих C# загрузчиков шеллкода, можно отправить на хост с экземпляром этой программы письмо с триггерной темой и base64-закодированным шеллкодом в теле. Программа затем прочитает письмо и выполнит шеллкод, встроенный в него.

Дополнительные замечания:

Это можно использовать для создания полноценного C2-фреймворка, полагающегося на электронные письма как средство связи (где имплант никогда не обращается к Интернету напрямую).
Похоже, существует предупреждение безопасности, информирующее пользователя о попытке приложения получить доступ к данным Outlook.
- Это можно отключить, когда администратор изменяет реестр, как показано здесь.
- Небольшое тестирование показало, что внедрение этого процесса в клиент Outlook не вызывает появления оповещения (дополнительное тестирование было бы очень оценено <3)