Microsoft Outlook може да бъде превърнат в C2 маяк за дистанционно изпълнение на код, както показва нова рамка за постексплоатация на червения екип, наречена „Specula“, публикувана днес от фирмата за киберсигурност TrustedSec.

Тази C2 рамка работи чрез създаване на персонализирана начална страница на Outlook с помощта на WebView, като се използва CVE-2017-11774 – уязвимост на Outlook за заобикаляне на функцията за сигурност, закърпена през октомври 2017 г.

„При сценарий на атака чрез споделяне на файлове нападателят може да предостави специално създаден файл с документ, предназначен за използване на уязвимостта, и след това да убеди потребителите да отворят файла с документа и да взаимодействат с него“, казва Microsoft.

Въпреки това, въпреки че Microsoft е закърпила дефекта и е премахнала потребителския интерфейс за показване на началните страници на Outlook, нападателите все още могат да създават злонамерени начални страници, използвайки стойности в регистъра на Windows, дори и в системи, в които са инсталирани най-новите компилации на Office 365.

Както обяснява Trusted, Specula работи единствено в контекста на Outlook и работи, като задава персонализирана начална страница на Outlook чрез ключове от регистъра, които се обръщат към интерактивен уеб сървър на Python.

За да направят това, заплахите, които нямат права, могат да зададат URL цел в записите на регистъра на Outlook WebView в HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Outlook\WebView\ към външен уебсайт под техен контрол.

Контролираната от атакуващия начална страница на Outlook е проектирана така, че да обслужва персонализирани VBscript файлове, които атакуващият може да използва за изпълнение на произволни команди в компрометирани системи Windows.

„TrustedSec успя да използва този специфичен канал за първоначален достъп в стотици клиенти въпреки съществуващите знания и наличните превантивни мерки за тази техника“, казват от TrustedSec.

„Когато потребителска начална страница е зададена от някой от ключовете в регистъра, описани от Microsoft в тяхното решение, Outlook ще изтегли и покаже тази HTML страница вместо нормалния елемент на пощенската кутия (входяща поща, календар, изпратени и т.н.), когато се избере свързаният раздел.

„От изтеглената HTML страница сме в състояние да стартираме vbscript или jscript в привилегирован контекст с повече или по-малко пълен достъп до локалната система, както ако стартираме cscript / wscript.exe.“

Макар че първо трябва да се компрометира устройството, за да се конфигурира записът в регистъра на Outlook, веднъж конфигурирани, нападателите могат да използват тази техника за устойчивост и за странично разпространение в други системи.

Тъй като outlook.exe е доверен процес, това улеснява нападателите да заобиколят съществуващия софтуер, докато се изпълняват командите.

Както Киберкомандването на САЩ (US CyberCom) предупреди преди пет години, уязвимостта CVE-2017-11774 на Outlook е била използвана и за атака срещу американски правителствени агенции.

По-късно изследователи по сигурността от Chronicle, FireEye и Palo Alto Networks свързаха тези атаки със спонсорираната от Иран група за кибершпионаж APT33.

„FireEye за пръв път наблюдава APT34 да използва CVE-2017-11774 през юни 2018 г., последвано от приемането му от APT33 за значително по-широка кампания, започнала през юли 2018 г. и продължила поне една година“, заявиха тогава изследователите по киберсигурност от FireEye.

ВИДЕО на англ. език