Aggiornamenti recenti Luglio 1st, 2025 3:44 PM
Lug 31, 2024 Marina Londei Hacking, In evidenza, News, RSS, Vulnerabilità 0
I ricercatori di sicurezza di TrustedSec hanno sviluppato un framework che consente di sfruttare Outlook per eseguire codice da remoto sulle macchine infette.
Il framework, chiamato Specula, permette di creare una home page personalizzata di Outlook, sfruttare le chiavi di registro e comunicare con un web server python. Il funzionamento di Specula si basa sulla CVE-2017-11774, una vulnerabilità di security feature bypass del servizio Microsoft.
“In uno scenario di file sharing, un attaccante può usare un file creato appositamente per sfruttare la vulnerabilità e convincere gli utenti ad aprire il documento e interagirci” spiega Microsoft nell’advisory relativo al bug.
Pixabay
Dopo aver installato un ambiente virtuale per Python, è possibile eseguire il framework specificando una serie di opzioni di setup, tra le quali dns_name per definire l’homepage a cui si collegherà e la porta dove rimanere in ascolto degli agenti. Gli agenti sono i responsabili dell’esecuzione di codice sulle macchine; per “agganciarne” uno alla macchina sfruttando Outlook è necessario creare la chiave URL di tipo REG_SZ nel percorso HKCU\Software\Microsoft\Office\16.0\Outlook\WebView\Inbox e valorizzarla con l’url del server di Specula.
Per eseguire il codice sulla macchina, un attaccante si serve della homepage custom per eseguire file VBscript.
Specula è organizzato in moduli e può essere esteso a piacimento. I moduli sono divisi in diverse categorie, tra le quali l’enumerate, dove ricadono tutte le funzionalità per ottenere informazioni sul sistema, execute per l’esecuzione di comandi, e il modulo trolling che comprende varie azioni fini a se stesse ma fastidiose per l’utente.
Il framework non è il primo che sfrutta l’home page di Outlook come vettore d’attacco: in passato sono stati sviluppati numerosi tool che usavano questo meccanismo. Il fix di Microsoft ha eliminato quegli elementi della UI della home page problematici che consentivano l’esecuzione dei file VBscript, ma non i valori di registro associati all’uso di questi elementi.
Microsoft ha rilasciato un workaround per gestire questo problema, ma in molti casi non viene applicato. “TrustedSec è stata in grado di sfruttare questo canale specifico per l’accesso iniziale in centinaia di clienti, nonostante le conoscenze esistenti e le misure di protezione disponibili per questa tecnica. Per questi motivi, stiamo rilasciando una versione ridotta del nostro tooling per attirare l’attenzione su questo vettore e, auspicabilmente, chiuderlo definitivamente” ha spiegato la compagnia.
I ricercatori di TrustedSec invitano gli utenti ad applicare il prima possibile il workaround indicato da Microsoft e verificare nei percorsi HKCU\Software\Microsoft\Office\16.0\Outlook\WebView\** la presenza di un valore URL.
Giu 30, 2025 0
Giu 27, 2025 0
Giu 25, 2025 0
Giu 19, 2025 0
Lug 01, 2025 0
Giu 26, 2025 0
Giu 24, 2025 0
Giu 24, 2025 0
Giu 09, 2025 0
La cybersecurity sta acquisendo sempre più importanza tra...Mag 30, 2025 0
Nel 2024, le piccole e medie imprese, spesso considerate il...Mag 27, 2025 0
MATLAB ha smesso di funzionare per quasi una settimana e...Mag 27, 2025 0
Nel corso del “TRU Security Day 2025” di...Mag 26, 2025 0
I ricercatori di Akamai hanno individuato di recente...Gen 29, 2025 0
Con l’avvento dell’IA generativa...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Lug 01, 2025 0
In un documento congiunto rilasciato ieri, la CISA,...Giu 30, 2025 0
I ricercatori di Koi Security hanno individuato una...Giu 27, 2025 0
Durante un processo di analisi di vulnerabilità zero-day,...Giu 26, 2025 0
I ricercatori di Check Point Research hanno individuato una...Giu 25, 2025 0
Il 14 ottobre il supporto tecnico e di sicurezza per...