Надстройка AgreeTo для Outlook, предназначенная для защиты от вредоносных программ.

Исследователи в области кибербезопасности обнаружили, как полагают, первую известную вредоносную надстройку для Microsoft Outlook, выявленную в реальных условиях. Кампания под кодовым названием AgreeToSteal представляет собой новый и вызывающий опасения вид атаки на цепочку поставок, злоупотребляющий доверием к экосистеме надстроек Microsoft Office.

В этом инциденте злоумышленник захватил домен, связанный с заброшенным, но легитимным надстройкой Outlook. Используя устаревшую инфраструктуру, злоумышленник развернул поддельную страницу входа в систему Microsoft и успешно получил доступ к учетным данным более 4000 пользователей.

Это открытие знаменует собой новый этап в угрозах цепочкам поставок, исходящих от торговых площадок, на этот раз направленных непосредственно на программное обеспечение для повышения производительности предприятий.

От инструмента повышения производительности до вектора фишинга

Компрометирующееся дополнение, известное как AgreeTo, изначально было разработано для того, чтобы помочь пользователям объединять несколько календарей и делиться информацией о своей доступности по электронной почте. Последнее обновление было произведено в декабре 2022 года.

В отличие от традиционных кампаний по распространению вредоносного ПО, эта атака не предполагала использования уязвимости в коде. Вместо этого она использовала структурную слабость в работе надстроек Office. Исследователи классифицируют это как вариацию ранее наблюдавшихся атак, затрагивающих расширения браузеров, пакеты npm и плагины IDE — доверенные каналы распространения, где одобренный контент может впоследствии изменяться без привлечения внимания.

Внедрение офисных надстроек сопряжено с повышенным риском из-за ряда совокупных факторов:

• Они выполняются непосредственно в Outlook, где обрабатываются особо конфиденциальные сообщения.
• Они могут запросить расширенные права доступа, включая возможность читать и изменять электронные письма.
• Они распространяются через официальный магазин Microsoft, подразумевая наличие доверия со стороны пользователей.

Дело AgreeTo подчеркивает критически важную реальность: первоначальный разработчик не совершил ничего злонамеренного. Был создан легитимный продукт, который впоследствии был заброшен. Атака воспользовалась пробелом между заброшенностью проекта и контролем со стороны торговой площадки.

Использование архитектуры надстроек Office

В основе инцидента лежит дизайн надстроек Office. Разработчики отправляют свои надстройки через Партнерский центр Microsoft, где решение проходит проверку и утверждение. Однако утверждение в основном связано с файлом манифеста, а не со статическим пакетом кода.

Надстройки Office принципиально отличаются от обычного программного обеспечения. Вместо того чтобы поставлять встроенный код, в файле манифеста указывается URL-адрес. Каждый раз, когда надстройка открывается в Outlook, приложение получает актуальный контент по этому URL-адресу и отображает его во фрейме (iframe).

Данная архитектурная модель создает критическую уязвимость: после утверждения и подписания надстройка продолжает загружать контент, предоставляемый указанным URL-адресом, в режиме реального времени. Если контроль над этим URL-адресом изменится, например, из-за истечения срока действия домена или прекращения работы инфраструктуры, вредоносный контент может быть внедрен без изменения подписанного манифеста.

В случае с AgreeTo манифест содержал ссылку на URL-адрес, размещенный на сервере Vercel (outlook-one.vercel[.]app). После удаления развертывания разработчика и фактического прекращения поддержки проекта примерно в 2023 году, URL-адрес стал доступен для захвата. Злоумышленник захватил контроль над ним, в то время как надстройка оставалась в списке приложений Microsoft.

На момент составления отчета инфраструктура остается в рабочем состоянии.

Выполнение фишинговых атак и кража учетных данных

Завладев заброшенным сервером, злоумышленник разместил по указанному URL-адресу фишинговый набор. Вредоносное содержимое отображало поддельную страницу входа в систему Microsoft, предназначенную для перехвата учетных данных пользователя.

Перехваченные пароли были получены с помощью API бота Telegram. Затем жертвы перенаправлялись на легитимную страницу входа в Microsoft, что снижало подозрения и повышало вероятность успешной кражи учетных данных.

Хотя наблюдаемая активность была сосредоточена на сборе учетных данных, исследователи предупреждают, что последствия могли быть значительно более серьезными. Надстройка была настроена с правами доступа ReadWriteItem, что позволяло читать и изменять электронные письма пользователей. Более агрессивный злоумышленник мог бы использовать JavaScript, способный незаметно похищать содержимое почтовых ящиков, создавая мощный вектор шпионажа в корпоративных средах.

Пробел в надзоре за рынком с более широкими последствиями

Microsoft проверяет манифесты надстроек на этапе первоначальной отправки, но после одобрения отсутствует непрерывная проверка актуального контента, предоставляемого по указанным URL-адресам. Это создает структурный пробел в доверии: манифест подписывается один раз, но удаленный контент, на который он ссылается, может изменяться неограниченно долго.

Дополнение AgreeTo было подписано в декабре 2022 года. Хотя исходный контент был легитимным на момент одобрения, по тому же URL-адресу теперь распространяется фишинговый набор, а дополнение по-прежнему доступно в магазине.

Эта проблема выходит за рамки экосистемы Microsoft. Любая торговая площадка, которая одобряет заявку один раз без постоянного мониторинга удаленных динамических зависимостей, подвержена аналогичным рискам. Структурная слабость одинакова для всех платформ: одобрить один раз, доверять бесконечно.

Стратегические меры по снижению рыночных рисков

Для устранения системных уязвимостей, выявленных AgreeToSteal, эксперты по безопасности рекомендуют ряд контрмер:

• Запускать автоматическую повторную проверку, когда URL-адрес, на который ссылается надстройка, начинает отображать контент, существенно отличающийся от первоначально проверенного.
• Внедрить проверку права собственности на домен, чтобы убедиться, что инфраструктура по-прежнему находится под контролем разработчика, и отмечать дополнения, в отношении которых происходит изменение права собственности на хостинг.
• Необходимо разработать механизмы для удаления из списка или предупреждения пользователей о надстройках, которые не были обновлены в установленные сроки.
• Количество установленных дисплеев помогает оценить степень воздействия.

Для снижения рисков в цепочке поставок в современных экосистемах распространения контента крайне важен непрерывный мониторинг контента в режиме реального времени, а не полагаться исключительно на статическое утверждение манифестов.

Тревожный сигнал для динамических моделей доверия на основе зависимостей

Кампания AgreeToSteal иллюстрирует фундаментальную проблему современных моделей распространения программного обеспечения. Надстройки для Office, расширения для браузеров и аналогичные инструменты, размещаемые на торговых площадках, часто полагаются на удаленный, динамически предоставляемый контент.

Без периодического повторного сканирования и поведенческого мониторинга доверенные приложения могут незаметно превратиться в векторы атак.

Этот случай служит предупреждением как для операторов платформ, так и для специалистов по защите предприятий: доверие необходимо постоянно подтверждать, особенно когда речь идет об удаленной инфраструктуре и динамических зависимостях.