Aggiornamenti recenti Novembre 6th, 2024 10:30 AM
Lug 31, 2024 Marina Londei Hacking, In evidenza, News, RSS, Vulnerabilità 0
I ricercatori di sicurezza di TrustedSec hanno sviluppato un framework che consente di sfruttare Outlook per eseguire codice da remoto sulle macchine infette.
Il framework, chiamato Specula, permette di creare una home page personalizzata di Outlook, sfruttare le chiavi di registro e comunicare con un web server python. Il funzionamento di Specula si basa sulla CVE-2017-11774, una vulnerabilità di security feature bypass del servizio Microsoft.
“In uno scenario di file sharing, un attaccante può usare un file creato appositamente per sfruttare la vulnerabilità e convincere gli utenti ad aprire il documento e interagirci” spiega Microsoft nell’advisory relativo al bug.
Dopo aver installato un ambiente virtuale per Python, è possibile eseguire il framework specificando una serie di opzioni di setup, tra le quali dns_name per definire l’homepage a cui si collegherà e la porta dove rimanere in ascolto degli agenti. Gli agenti sono i responsabili dell’esecuzione di codice sulle macchine; per “agganciarne” uno alla macchina sfruttando Outlook è necessario creare la chiave URL di tipo REG_SZ nel percorso HKCU\Software\Microsoft\Office\16.0\Outlook\WebView\Inbox e valorizzarla con l’url del server di Specula.
Per eseguire il codice sulla macchina, un attaccante si serve della homepage custom per eseguire file VBscript.
Specula è organizzato in moduli e può essere esteso a piacimento. I moduli sono divisi in diverse categorie, tra le quali l’enumerate, dove ricadono tutte le funzionalità per ottenere informazioni sul sistema, execute per l’esecuzione di comandi, e il modulo trolling che comprende varie azioni fini a se stesse ma fastidiose per l’utente.
Il framework non è il primo che sfrutta l’home page di Outlook come vettore d’attacco: in passato sono stati sviluppati numerosi tool che usavano questo meccanismo. Il fix di Microsoft ha eliminato quegli elementi della UI della home page problematici che consentivano l’esecuzione dei file VBscript, ma non i valori di registro associati all’uso di questi elementi.
Microsoft ha rilasciato un workaround per gestire questo problema, ma in molti casi non viene applicato. “TrustedSec è stata in grado di sfruttare questo canale specifico per l’accesso iniziale in centinaia di clienti, nonostante le conoscenze esistenti e le misure di protezione disponibili per questa tecnica. Per questi motivi, stiamo rilasciando una versione ridotta del nostro tooling per attirare l’attenzione su questo vettore e, auspicabilmente, chiuderlo definitivamente” ha spiegato la compagnia.
I ricercatori di TrustedSec invitano gli utenti ad applicare il prima possibile il workaround indicato da Microsoft e verificare nei percorsi HKCU\Software\Microsoft\Office\16.0\Outlook\WebView\** la presenza di un valore URL.
Ott 30, 2024 0
Ott 29, 2024 0
Ott 22, 2024 0
Ott 15, 2024 0
Nov 06, 2024 0
Nov 05, 2024 0
Nov 04, 2024 0
Nov 04, 2024 0
Nov 05, 2024 0
I FortiGuard Labs di Fortinet hanno individuato attività...Nov 04, 2024 0
Era già successo durante le ultime elezioni e sta...Ott 31, 2024 0
Oltre 200 applicazioni dannose che contano più di 8...Ott 29, 2024 0
Il 25 ottobre si è concluso il quarto e ultimo giorno di...Ott 25, 2024 0
Se in passato il tracciamento digitale era considerata una...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Nov 06, 2024 0
Il team di Unit 42 di Palo Alto Networks ha...Nov 05, 2024 0
I FortiGuard Labs di Fortinet hanno individuato attività...Nov 04, 2024 0
Era già successo durante le ultime elezioni e sta...Nov 04, 2024 0
Questa settimana, il CERT-AGID ha analizzato 59 campagne...Ott 31, 2024 0
Oltre 200 applicazioni dannose che contano più di 8...