Outlook può essere usato per l’esecuzione di codice da remoto

I ricercatori di sicurezza di TrustedSec hanno sviluppato un framework che consente di sfruttare Outlook per eseguire codice da remoto sulle macchine infette.

Il framework, chiamato Specula, permette di creare una home page personalizzata di Outlook, sfruttare le chiavi di registro e comunicare con un web server python. Il funzionamento di Specula si basa sulla CVE-2017-11774, una vulnerabilità di security feature bypass del servizio Microsoft.

“In uno scenario di file sharing, un attaccante può usare un file creato appositamente per sfruttare la vulnerabilità e convincere gli utenti ad aprire il documento e interagirci” spiega Microsoft nell’advisory relativo al bug.

Pixabay

Dopo aver installato un ambiente virtuale per Python, è possibile eseguire il framework specificando una serie di opzioni di setup, tra le quali dns_name per definire l’homepage a cui si collegherà e la porta dove rimanere in ascolto degli agenti. Gli agenti sono i responsabili dell’esecuzione di codice sulle macchine; per “agganciarne” uno alla macchina sfruttando Outlook è necessario creare la chiave URL di tipo REG_SZ nel percorso HKCU\Software\Microsoft\Office\16.0\Outlook\WebView\Inbox e valorizzarla con l’url del server di Specula.

Per eseguire il codice sulla macchina, un attaccante si serve della homepage custom per eseguire file VBscript.

Specula è organizzato in moduli e può essere esteso a piacimento. I moduli sono divisi in diverse categorie, tra le quali l’enumerate, dove ricadono tutte le funzionalità per ottenere informazioni sul sistema, execute per l’esecuzione di comandi, e il modulo trolling che comprende varie azioni fini a se stesse ma fastidiose per l’utente.

Il framework non è il primo che sfrutta l’home page di Outlook come vettore d’attacco: in passato sono stati sviluppati numerosi tool che usavano questo meccanismo. Il fix di Microsoft ha eliminato quegli elementi della UI della home page problematici che consentivano l’esecuzione dei file VBscript, ma non i valori di registro associati all’uso di questi elementi.

Microsoft ha rilasciato un workaround per gestire questo problema, ma in molti casi non viene applicato. “TrustedSec è stata in grado di sfruttare questo canale specifico per l’accesso iniziale in centinaia di clienti, nonostante le conoscenze esistenti e le misure di protezione disponibili per questa tecnica. Per questi motivi, stiamo rilasciando una versione ridotta del nostro tooling per attirare l’attenzione su questo vettore e, auspicabilmente, chiuderlo definitivamente” ha spiegato la compagnia.

I ricercatori di TrustedSec invitano gli utenti ad applicare il prima possibile il workaround indicato da Microsoft e verificare nei percorsi HKCU\Software\Microsoft\Office\16.0\Outlook\WebView\** la presenza di un valore URL.