Шкідлива надбудова Outlook AgreeTo

Дослідники з кібербезпеки виявили, як вважається, першу відому шкідливу надбудову Microsoft Outlook, виявлену в реальних умовах. Кампанія під кодовою назвою AgreeToSteal являє собою нову та тривожну атаку на ланцюг поставок, яка зловживає довірою до екосистеми надбудов Microsoft Office.

У цьому інциденті зловмисник захопив домен, пов’язаний із покинутою, але легітимною надбудовою Outlook. Використовуючи застарілу інфраструктуру, зловмисник розгорнув підроблену сторінку входу Microsoft та успішно викрав понад 4000 облікових даних користувачів.

Це відкриття сигналізує про новий етап у розвитку загроз для ланцюгів поставок на основі ринку, цього разу спрямованих на програмне забезпечення для підвищення продуктивності підприємств.

Від інструменту продуктивності до вектора фішингу

Скомпрометована надбудова, відома як AgreeTo, спочатку була розроблена, щоб допомогти користувачам об’єднати кілька календарів та ділитися інформацією про доступність через електронну пошту. Востаннє її оновлювали у грудні 2022 року.

На відміну від традиційних кампаній розповсюдження шкідливого програмного забезпечення, ця атака не передбачала використання вразливості в кодовій базі. Натомість вона скористалася структурною слабкістю у функціонуванні надбудов Office. Дослідники класифікують це як варіацію раніше спостережуваних атак, що впливають на розширення браузера, пакети npm та плагіни IDE – надійні канали розповсюдження, де затверджений контент може пізніше змінюватися без необхідності перевірки.

Надбудови Office створюють підвищений ризик через кілька складних факторів:

• Вони виконуються безпосередньо в Outlook, де обробляються висококонфіденційні повідомлення.
• Вони можуть запитувати потужні дозволи, зокрема можливість читати та змінювати електронні листи.
• Вони розповсюджуються через офіційний магазин Microsoft, успадковуючи неявну довіру користувачів.

Справа AgreeTo підкреслює критичну реальність: оригінальний розробник не зробив нічого зловмисного. Було створено легітимний продукт, а потім його покинули. Атака використала розрив між закриттям проекту та наглядом з боку ринку.

Використання архітектури надбудов Office

В основі інциденту лежить дизайн надбудов Office. Розробники подають свої надбудови через Центр партнерів Microsoft, де рішення проходить перевірку та затвердження. Однак затвердження значною мірою пов'язане з файлом маніфесту, а не зі статичним пакетом коду.

Надбудови Office принципово відрізняються від звичайного програмного забезпечення. Замість того, щоб постачати в комплекті код, файл маніфесту вказує URL-адресу. Щоразу, коли надбудова відкривається в Outlook, програма отримує активний вміст з цієї URL-адреси та відображає його в iframe.

Ця архітектурна модель запроваджує критично важливу проблему: після затвердження та підписання надбудова продовжує завантажувати будь-який контент, який обслуговує посилання на URL-адресу, у режимі реального часу. Якщо контроль над цією URL-адресою змінюється через закінчення терміну дії домену або залишення інфраструктури, шкідливий контент може бути впроваджений без зміни підписаного маніфесту.

У випадку AgreeTo маніфест посилався на URL-адресу, розміщену на Vercel (outlook-one.vercel[.]app). Після того, як розгортання розробника було видалено, а проект фактично став заброньованим програмним забезпеченням приблизно у 2023 році, URL-адреса стала доступною для затвердження. Зловмисник захопив контроль над нею, поки надбудова залишалася в магазині Microsoft.

Станом на звіт, інфраструктура залишається активною.

Виконання фішингових атак та викрадання облікових даних

Після отримання права на покинуте розгортання зловмисник розмістив фішинговий комплект за вказаною URL-адресою. Шкідливий контент відображав підроблену сторінку входу Microsoft, призначену для збору облікових даних користувача.

Захоплені паролі були викрадені за допомогою API бота Telegram. Потім жертв перенаправляли на легітимну сторінку входу Microsoft, що зменшувало підозри та збільшувало ймовірність успішної крадіжки облікових даних.

Хоча спостережувана активність була зосереджена на зборі облікових даних, дослідники попереджають, що вплив міг бути значно серйознішим. Надбудова була налаштована з дозволами ReadWriteItem, що дозволяло читати та змінювати електронні листи користувачів. Більш агресивний зловмисник міг розгорнути JavaScript, здатний непомітно витягувати вміст поштової скриньки, створюючи потужний вектор шпигунства в корпоративних середовищах.

Прогалина в нагляді за ринком із ширшими наслідками

Microsoft перевіряє маніфести надбудов під час початкового надсилання, але після затвердження не відбувається постійної перевірки активного вмісту, що надається посиланнями URL-адрес. Це створює структурний розрив у довірі: маніфест підписується один раз, проте віддалений вміст, на який він посилається, може змінюватися необмежено довго.

Надбудову AgreeTo було підписано у грудні 2022 року. Хоча оригінальний контент був легітимним на момент затвердження, та сама URL-адреса тепер використовується для фішингового набору, а надбудова залишається доступною в магазині.

Ця проблема виходить за межі екосистеми Microsoft. Будь-який торговий майданчик, який схвалює заявку один раз без постійного моніторингу віддалених динамічних залежностей, наражається на аналогічні ризики. Структурна слабкість однакова на всіх платформах: схвалюєш один раз, довіряєш необмежено.

Стратегічні пом'якшувальні заходи для зниження ризиків на ринку

Щоб усунути системні недоліки, виявлені AgreeToSteal, експерти з безпеки рекомендують кілька контрзаходів:

• Запускати автоматичні повторні перевірки, коли URL-адреса, на яку посилається надбудова, починає відображати вміст, який суттєво відрізняється від початково перевіреного.
• Впроваджуйте перевірку права власності на домен, щоб підтвердити, що інфраструктура залишається під контролем розробника, і позначайте надбудови, якщо змінюється право власності на хостинг.
• Встановіть механізми для видалення або попередження користувачів про надбудови, які не були оновлені протягом визначених термінів.
• Відобразіть кількість встановлень, щоб допомогти оцінити вплив та потенційний вплив.

Безперервний моніторинг живого контенту, а не лише покладатися на статичне затвердження маніфесту, є важливим для зменшення ризиків ланцюга постачання в сучасних екосистемах розширення.

Сигнал тривоги для динамічних моделей довіри залежності

Кампанія AgreeToSteal ілюструє фундаментальну проблему сучасних моделей розповсюдження програмного забезпечення. Надбудови Office, розширення браузера та аналогічні інструменти, розміщені на торговельних майданчиках, часто залежать від віддаленого, динамічно наданого контенту.

Без періодичного повторного сканування та моніторингу поведінки довірені програми можуть непомітно перетворитися на вектори атаки.

Цей випадок служить попередженням як для операторів платформ, так і для захисників підприємств: довіру необхідно постійно перевіряти, особливо коли йдеться про віддалену інфраструктуру та динамічні залежності.