Microsoft Outlook, bugün siber güvenlik firması TrustedSEC tarafından yayınlanan "Specula" adlı yeni bir Red Team Postploitation çerçevesi tarafından gösterildiği gibi, kodu uzaktan yürütmek için bir C2 Beacon'a dönüştürülebilir.
Bu C2 çerçevesi, Ekim 2017'de yamalanan bir Outlook Güvenlik özelliği olan CVE-2017-11774'ten yararlanarak WebView kullanarak özel bir Outlook ana sayfası oluşturarak çalışır.
Microsoft, "Bir dosya paylaşımı saldırısı senaryosunda, bir saldırgan güvenlik açığından yararlanmak için tasarlanmış özel hazırlanmış bir belge dosyası sağlayabilir ve daha sonra kullanıcıları belge dosyasını açmaya ve belgeyle etkileşime girmeye ikna edebilir."
Ancak, Microsoft kusuru yamalı ve Outlook ana sayfalarını göstermek için kullanıcı arayüzünü kaldırsa da, saldırganlar en son Office 365 yapılarının yüklendiği sistemlerde bile Windows kayıt defteri değerlerini kullanarak kötü amaçlı ev sayfaları oluşturabilir.
Trusted'in açıkladığı gibi, Specula tamamen Outlook'ın bağlamında çalışır ve etkileşimli bir Python web sunucusuna çağıran kayıt defteri anahtarları aracılığıyla özel bir Outlook ana sayfası ayarlayarak çalışır.
Bunu yapmak için, privileged olmayan tehdit aktörleri, Outlook'un WebView kayıt defteri girişlerinde HKEY_CURrent_user \ Software \ Microsoft \ Office \ 16.0 \ Outlook \ WebView \ altında, kontrolleri altındaki harici bir web sitesine bir URL hedefi belirleyebilir.
Saldırgan tarafından kontrol edilen Outlook ana sayfası, bir saldırganın tehlikeye atılan Windows sistemlerinde keyfi komutlar yürütmek için kullanabileceği özel VBScript dosyalarını sunmak için tasarlanmıştır.
TrustedSec, "TrustedSEC, bu teknik için mevcut olan mevcut bilgi ve önlemlere rağmen yüzlerce istemciden ilk erişim için bu kanaldan yararlanabildi." Dedi.
"Özel bir ana sayfa tarafından Microsoft tarafından belirtilen kayıt defteri anahtarlarından herhangi biri tarafından belirlendiğinde, Outlook, ilişkili sekme olduğunda normal posta kutusu öğesi (gelen kutusu, takvim, gönderilen vb.) Yerine bu HTML sayfasını indirecek ve görüntüleyecektir. seçildi.
"İndirilen HTML sayfasından, cscript / wscript.exe çalıştırıyormuş gibi yerel sisteme az çok tam erişim ile ayrıcalıklı bir bağlamda VBScript veya JScript'i çalıştırabiliriz."
Bir cihazın Outlook kayıt defteri girişini yapılandırmak için ilk olarak tehlikeye atılması gerekse de, yapılandırıldıktan sonra saldırganlar bu tekniği kalıcılık için ve yanal olarak diğer sistemlere yaymak için kullanabilirler.
Outlook.exe güvenilir bir süreç olduğundan, komutlar yürütüldükçe saldırganların mevcut yazılımdan kaçmasını kolaylaştırır.
ABD Siber Komutanlığı'nın (US Cybercom) beş yıl önce uyardığı gibi, ABD hükümet kurumlarını hedeflemek için CVE-2017-11774 görünüm kırılganlığı da kullanıldı.
Chronicle, FireEye ve Palo Alto Networks'ten güvenlik araştırmacıları daha sonra bu saldırıları İran destekli APT33 Siber Casusluk Grubuna bağladı.
FireEye siber güvenlik araştırmacıları, "FireEye ilk olarak APT34'ü Haziran 2018'de CVE-2017-11774'ü kullanmayı gözlemledi, ardından APT33 tarafından Temmuz 2018'de başlayan ve en az bir yıl boyunca devam eden önemli ölçüde daha geniş bir kampanya için evlat edinildi." Dedi.
Windows 11 Görev Çubuğu Gizli Bir "Son Görev" özelliğine sahiptir, Nasıl Açılır
Google, kimlik bilgilerini gizleyen Chrome Parola Yöneticisi hatasını düzeltiyor
Windows 11 KB5040527 Güncelleme Windows yedekleme hatalarını düzeltiyor
Microsoft, Windows 10 bağlı önbellek dağıtım sorunlarının arkasındaki hatayı düzeltiyor
CrowdStrike: 'İçerik Doğrulayıcı' hatası hatalı güncelleme geçiş kontrollerine izin ver
Kaynak: Bleeping Computer