Investigadores de ciberseguridad descubrieron lo que dijeron es el primer complemento astuto de Microsoft Outlook detectado en la naturaleza.
En este inusual ataque a la prisión de suministro detallado por Koi Security, un atacante desconocido reclamó el dominio asociado con un complemento lícito ahora sucio para servir una página de inicio de sesión falsa de Microsoft, robando más de 4000 credenciales en el proceso. La actividad ha sido nombrada en código. AceptarRobar por la empresa de ciberseguridad.
El complemento de Outlook en cuestión es AgreeTo, que su desarrollador anuncia como una forma para que los usuarios conecten diferentes calendarios en un solo puesto y compartan su disponibilidad a través del correo electrónico. El complemento se actualizó por última vez en diciembre de 2022.
Idan Dardikman, cofundador y CTO de Koi, dijo a The Hacker News que el incidente representa una ampliación de los vectores de ataque a la prisión de suministro.
“Este es el mismo tipo de ataque que hemos pasado en extensiones de navegador, paquetes npm y complementos IDE: un canal de distribución confiable donde el contenido puede cambiar luego de la aprobación”, dijo Dardikman. “Lo que hace que los complementos de Office sean particularmente preocupantes es la combinación de factores: se ejecutan adentro de Outlook, donde los usuarios manejan sus comunicaciones más sensibles, pueden solicitar permisos para interpretar y modificar correos electrónicos y se distribuyen a través de la propia tienda de Microsoft, que conlleva una confianza implícita”.
“El caso AgreeTo añade otra dimensión: el desarrollador innovador no hizo nadie malo. Construyeron un producto lícito y siguieron delante. El ataque aprovechó la brecha entre el momento en que un desarrollador abandona un tesina y el momento en que la plataforma se da cuenta. Cada mercado que alberga dependencias dinámicas remotas es susceptible a esto”.
En esencia, el ataque explota el funcionamiento de los complementos de Office y la yerro de supervisión periódica del contenido de los complementos publicados en Marketplace. Según la documentación de Microsoft, los desarrolladores de complementos deben crear una cuenta y expedir su alternativa al Centro de socios, tras lo cual está sujeta a un proceso de aprobación.
Es más, los complementos de Office utilizan un archivo de manifiesto que declara una URL, cuyo contenido se recupera y se entrega en tiempo existente desde el servidor del desarrollador cada vez que se abre adentro de un medio ambiente iframe adentro de la aplicación. Sin retención, no hay nadie que impida que un mal actor tome el control de un dominio caducado.
En el caso de AgreeTo, el archivo de manifiesto apuntaba a una URL alojada en Vercel (“outlook-one.vercel(.)app”), que se volvió reclamable luego de que se eliminó la implementación de Vercel del desarrollador adecuado a que esencialmente se convirtió en abandonware en algún momento cerca de de 2023. La infraestructura todavía está activa en el momento de escribir este artículo.
El atacante aprovechó este comportamiento para totalizar un kit de phishing en esa URL que mostraba una página de inicio de sesión de Microsoft falsa, capturando las contraseñas ingresadas, filtrando los detalles a través de la API de Telegram Bot y, finalmente, redirigiendo a la víctima a la página de inicio de sesión existente de Microsoft.
Pero Koi advierte que el incidente podría favor sido peor. Hexaedro que el complemento está configurado con permisos “ReadWriteItem”, lo que le permite interpretar y modificar los correos electrónicos del beneficiario, un actor de amenazas podría favor abusado de este punto ciego para implementar JavaScript que puede desviar de forma ajuste el contenido del receptáculo de una víctima.
Los hallazgos ponen de relieve una vez más la escazes de retornar a escanear los paquetes y las herramientas cargadas en los mercados y repositorios para detectar actividades maliciosas/sospechosas.
Dardikman dijo que si adecuadamente Microsoft revisa el manifiesto durante la etapa de remisión auténtico, no hay control sobre el contenido existente que se recupera en vivo del servidor del desarrollador cada vez que se abre el complemento, una vez firmado y ratificado. Como resultado, la desaparición de un seguimiento continuo de lo que sirve la URL abre la puerta a riesgos de seguridad no deseados.
“Los complementos de Office son fundamentalmente diferentes del software tradicional”, añadió Dardikman. “No envían un paquete de código invariable. El manifiesto simplemente declara una URL, y cualquier cosa que esa URL proporcione en un momento donado es lo que se ejecuta adentro de Outlook. En el caso de AgreeTo, Microsoft firmó el manifiesto en diciembre de 2022, apuntando a outlook-one.vercel.app. Esa misma URL ahora ofrece un kit de phishing y el complemento todavía figura en la tienda”.
Para contrarrestar los problemas de seguridad que plantea la amenaza, Koi recomienda una serie de medidas que Microsoft puede tomar:
- Active una nueva revisión cuando la URL de un complemento comience a devolver contenido diferente al que había durante la revisión.
- Verifique la propiedad del dominio para comprobar de que lo administre el desarrollador del complemento y marque los complementos en los que la infraestructura del dominio haya cambiado de manos.
- Implemente un mecanismo para eliminar o marcar complementos que no se hayan actualizado más allá de un período de tiempo determinado.
- La instalación de pantallas cuenta como una forma de evaluar el impacto.
The Hacker News se comunicó con Microsoft para hacer comentarios y actualizaremos la historia si recibimos una respuesta.
Cerca de señalar que el problema no se limita solamente a Microsoft Marketplace o Office Store. El mes pasado, Open VSX anunció planes para aplicar controles de seguridad antaño de que las extensiones de Microsoft Visual Studio Code (VS Code) se publiquen en el repositorio de código rajado. De modo similar, VS Code Marketplace de Microsoft realiza un nuevo escaneo masivo gaceta de todos los paquetes en el registro.
“El problema estructural es el mismo en todos los mercados que albergan dependencias dinámicas remotas: aprobar una vez, dejarlo en Dios para siempre”, dijo Dardikman. “Los detalles varían según la plataforma, pero la brecha fundamental que permitió AgreeTo existe en cualquier puesto donde un mercado revisa un manifiesto en el momento del remisión sin monitorear lo que las URL a las que se hace remisión positivamente sirven luego”.
