AgreeTo-haitallinen Outlook-apuohjelma

Kyberturvallisuustutkijat ovat paljastaneet, minkä uskotaan olevan ensimmäinen tunnettu luonnossa havaittu haitallinen Microsoft Outlook -lisäosa. AgreeToSteal-koodinimeltään tunnettu kampanja edustaa uudenlaista ja ongelmallista toimitusketjuhyökkäystä, joka väärinkäyttää luottamusta Microsoftin Office-lisäosaekosysteemiin.

Tässä tapauksessa hyökkääjä kaappasi hylätyn mutta laillisen Outlook-apuohjelman verkkotunnuksen. Käyttämällä vanhentunutta infrastruktuuria uudelleen hyökkääjä otti käyttöön väärennetyn Microsoftin kirjautumissivun ja keräsi onnistuneesti yli 4 000 käyttäjän tunnistetiedot.

Tämä löytö merkitsee uuden vaiheen alkamista markkinapaikkapohjaisissa toimitusketjuuhkissa, tällä kertaa kohdistuen ytimessä olevaan yritysten tuottavuusohjelmistoon.

Tuottavuustyökalusta tietojenkalasteluhyökkäykseksi

Vaarantunut AgreeTo-niminen lisäosa kehitettiin alun perin auttamaan käyttäjiä yhdistämään useita kalentereita ja jakamaan saatavuutta sähköpostin kautta. Se päivitettiin viimeksi joulukuussa 2022.

Toisin kuin perinteisissä haittaohjelmien jakelukampanjoissa, tässä hyökkäyksessä ei hyödynnetty koodikannassa olevaa haavoittuvuutta. Sen sijaan siinä hyödynnettiin Office-apuohjelmien toiminnan rakenteellista heikkoutta. Tutkijat luokittelevat tämän aiemmin havaittujen hyökkäysten muunnelmaksi, jotka vaikuttavat selainlaajennuksiin, npm-paketteihin ja IDE-laajennuksiin, luotettaviin jakelukanaviin, joissa hyväksyttyä sisältöä voidaan myöhemmin muuttaa ilman, että se käynnistää tarkastuksia.

Office-apuohjelmat lisäävät riskiä useiden korkoa korottavien tekijöiden vuoksi:

• Ne suoritetaan suoraan Outlookissa, jossa käsitellään erittäin arkaluonteisia viestejä.
• He voivat pyytää tehokkaita käyttöoikeuksia, mukaan lukien oikeuden lukea ja muokata sähköposteja.
• Ne jaetaan Microsoftin virallisen kaupan kautta, ja ne perivät implisiittisen käyttäjän luottamuksen.

AgreeTo-tapaus korostaa kriittistä tosiasiaa: alkuperäinen kehittäjä ei tehnyt mitään pahantahtoista. Luotiin laillinen tuote, joka myöhemmin hylättiin. Hyökkäys hyödynsi projektin hylkäämisen ja markkinapaikan valvonnan välistä kuilua.

Office-lisäosa-arkkitehtuurin hyödyntäminen

Tapauksen ytimessä on Office-apuohjelmien suunnittelu. Kehittäjät lähettävät apuohjelmansa Microsoftin kumppanikeskuksen kautta, jossa ratkaisu tarkastetaan ja hyväksytään. Hyväksyntä on kuitenkin pitkälti sidottu manifest-tiedostoon, ei staattiseen koodipakettiin.

Office-apuohjelmat eroavat perustavanlaatuisesti perinteisistä ohjelmistoista. Mukana toimitettavan koodin sijaan manifest-tiedosto määrittää URL-osoitteen. Aina kun apuohjelma avataan Outlookissa, sovellus hakee reaaliaikaista sisältöä kyseisestä URL-osoitteesta ja renderöi sen iframe-kehyksessä.

Tämä arkkitehtuurimalli tuo mukanaan kriittisen riskin: hyväksynnän ja allekirjoituksen jälkeen apuohjelma jatkaa viitatun URL-osoitteen tarjoaman sisällön lataamista reaaliajassa. Jos URL-osoitteen hallinta muuttuu esimerkiksi verkkotunnuksen vanhenemisen tai infrastruktuurin hylkäämisen vuoksi, haitallista sisältöä voidaan lisätä muokkaamatta allekirjoitettua manifestia.

AgreeTo-tapauksessa manifesti viittasi Vercelin isännöimään URL-osoitteeseen (outlook-one.vercel[.]app). Kun kehittäjän käyttöönotto poistettiin ja projektista tuli käytännössä hylätty ohjelmisto noin vuonna 2023, URL-osoitteesta tuli lunastettavissa oleva. Hyökkääjä otti sen hallintaansa, vaikka apuohjelma pysyi Microsoftin kaupassa.

Raportointihetkellä infrastruktuuri on edelleen aktiivinen.

Tietojenkalasteluhyökkäysten suorittaminen ja tunnistetietojen vuotaminen

Hylätyn käyttöönoton jälkeen hyökkääjä isännöi tietojenkalastelupakettia mainitussa URL-osoitteessa. Haitallinen sisältö näytti väärennetyn Microsoftin kirjautumissivun, jonka tarkoituksena oli kaapata käyttäjän tunnistetiedot.

Kaapatut salasanat varastettiin Telegram Bot API:n avulla. Uhrit ohjattiin sitten lailliselle Microsoftin kirjautumissivulle, mikä vähensi epäilyksiä ja lisäsi tunnistetietojen varkauden onnistumisen todennäköisyyttä.

Vaikka havaittu toiminta keskittyi tunnistetietojen keräämiseen, tutkijat varoittavat, että vaikutus olisi voinut olla huomattavasti vakavampi. Lisäosalle oli määritetty ReadWriteItem-käyttöoikeudet, jotka mahdollistivat käyttäjien sähköpostien lukemisen ja muokkaamisen. Aggressiivisempi uhkatoimija olisi voinut ottaa käyttöön JavaScriptin, joka pystyy salaa vuotamaan postilaatikon sisällön, mikä luo tehokkaan vakoiluvektorin yritysympäristöihin.

Markkinoiden valvontavaje, jolla on laajempia vaikutuksia

Microsoft tarkistaa apuohjelmien manifestit alkuperäisen lähetysprosessin aikana, mutta viitattujen URL-osoitteiden tarjoamaa live-sisältöä ei validoida jatkuvasti hyväksynnän jälkeen. Tämä luo rakenteellisen luottamuskuilun: manifesti allekirjoitetaan kerran, mutta siinä viitattu etäsisältö voi muuttua loputtomiin.

AgreeTo-lisäosa allekirjoitettiin joulukuussa 2022. Vaikka alkuperäinen sisältö oli laillista hyväksymishetkellä, sama URL-osoite tarjoaa nyt tietojenkalastelupaketin, ja lisäosa on edelleen saatavilla kaupassa.

Tämä ongelma ulottuu Microsoftin ekosysteemin ulkopuolelle. Mikä tahansa markkinapaikka, joka hyväksyy lähetyksen kerran ilman jatkuvaa etäisten dynaamisten riippuvuuksien seurantaa, altistuu samankaltaisille riskeille. Rakenteellinen heikkous on yhdenmukainen kaikilla alustoilla: hyväksy kerran, luota loputtomiin.

Strategiset lieventämistoimet markkinapaikkariskin vähentämiseksi

AgreeToStealin paljastamien järjestelmäheikkouksien korjaamiseksi tietoturva-asiantuntijat suosittelevat useita vastatoimia:

• Käynnistä automaattiset uudelleentarkistukset, kun apuohjelman viitattu URL-osoite alkaa tarjota sisältöä, joka eroaa olennaisesti alun perin tarkistetusta.
• Toteuta verkkotunnuksen omistajuuden validointi varmistaaksesi, että infrastruktuuri pysyy kehittäjän hallinnassa, ja merkitse lisäosat, joissa hosting-omistaja muuttuu.
• Luo mekanismeja, joilla poistetaan luettelosta apuohjelmia, joita ei ole päivitetty määritetyissä aikarajoissa, tai varoitetaan käyttäjiä niistä.
• Näyttöasennusten määrä auttaa arvioimaan näkyvyyttä ja mahdollista vaikutusta.

Nykyaikaisissa laajennusekosysteemeissä toimitusketjun riskien lieventämiseksi on tärkeää jatkuvasti päivittyvän sisällön seurantaa sen sijaan, että luotettaisiin pelkästään staattiseen manifestin hyväksyntään.

Herätyshuuto dynaamisille riippuvuusluottamusmalleille

AgreeToSteal-kampanja havainnollistaa nykyaikaisten ohjelmistojen jakelumallien perustavanlaatuista haastetta. Office-apuohjelmat, selainlaajennukset ja vastaavat markkinapaikalla isännöidyt työkalut ovat usein riippuvaisia etänä saatavasta, dynaamisesti tarjotusta sisällöstä.

Ilman säännöllistä uudelleentarkastelua ja toiminnan seurantaa luotettavat sovellukset voivat hiljaa kehittyä hyökkäysvektoreiksi.

Tämä tapaus toimii varoituksena sekä alustaoperaattoreille että yritysten puolustajille: luottamusta on jatkuvasti validoitava, erityisesti silloin, kun kyseessä on etäinfrastruktuuri ja dynaamiset riippuvuudet.