Investigadores de ciberseguridad descubrieron lo que dijeron es el primer complemento malicioso de Microsoft Outlook detectado en la naturaleza.
En este inusual ataque a la cadena de suministro detallado por Koi Security, un atacante desconocido reclamó el dominio asociado con un complemento legítimo ahora abandonado para servir una página de inicio de sesión falsa de Microsoft, robando más de 4000 credenciales en el proceso. La actividad ha sido nombrada en código. AceptarRobar por la empresa de ciberseguridad.
El complemento de Outlook en cuestión es AgreeTo, que su desarrollador anuncia como una forma para que los usuarios conecten diferentes calendarios en un solo lugar y compartan su disponibilidad a través del correo electrónico. El complemento se actualizó por última vez en diciembre de 2022.
Idan Dardikman, cofundador y CTO de Koi, dijo a The Hacker News que el incidente representa una ampliación de los vectores de ataque a la cadena de suministro.
«Este es el mismo tipo de ataque que hemos visto en extensiones de navegador, paquetes npm y complementos IDE: un canal de distribución confiable donde el contenido puede cambiar después de la aprobación», dijo Dardikman. «Lo que hace que los complementos de Office sean particularmente preocupantes es la combinación de factores: se ejecutan dentro de Outlook, donde los usuarios manejan sus comunicaciones más sensibles, pueden solicitar permisos para leer y modificar correos electrónicos y se distribuyen a través de la propia tienda de Microsoft, que conlleva una confianza implícita».
«El caso AgreeTo añade otra dimensión: el desarrollador original no hizo nada malo. Construyeron un producto legítimo y siguieron adelante. El ataque aprovechó la brecha entre el momento en que un desarrollador abandona un proyecto y el momento en que la plataforma se da cuenta. Cada mercado que alberga dependencias dinámicas remotas es susceptible a esto».
En esencia, el ataque explota el funcionamiento de los complementos de Office y la falta de supervisión periódica del contenido de los complementos publicados en Marketplace. Según la documentación de Microsoft, los desarrolladores de complementos deben crear una cuenta y enviar su solución al Centro de socios, tras lo cual está sujeta a un proceso de aprobación.
Es más, los complementos de Office utilizan un archivo de manifiesto que declara una URL, cuyo contenido se recupera y se entrega en tiempo real desde el servidor del desarrollador cada vez que se abre dentro de un elemento iframe dentro de la aplicación. Sin embargo, no hay nada que impida que un mal actor tome el control de un dominio caducado.
En el caso de AgreeTo, el archivo de manifiesto apuntaba a una URL alojada en Vercel («outlook-one.vercel(.)app»), que se volvió reclamable después de que se eliminó la implementación de Vercel del desarrollador debido a que esencialmente se convirtió en abandonware en algún momento alrededor de 2023. La infraestructura todavía está activa en el momento de escribir este artículo.
El atacante aprovechó este comportamiento para montar un kit de phishing en esa URL que mostraba una página de inicio de sesión de Microsoft falsa, capturando las contraseñas ingresadas, filtrando los detalles a través de la API de Telegram Bot y, finalmente, redirigiendo a la víctima a la página de inicio de sesión real de Microsoft.
Pero Koi advierte que el incidente podría haber sido peor. Dado que el complemento está configurado con permisos «ReadWriteItem», lo que le permite leer y modificar los correos electrónicos del usuario, un actor de amenazas podría haber abusado de este punto ciego para implementar JavaScript que puede desviar de forma encubierta el contenido del buzón de una víctima.
Los hallazgos ponen de relieve una vez más la necesidad de volver a escanear los paquetes y las herramientas cargadas en los mercados y repositorios para detectar actividades maliciosas/sospechosas.
Dardikman dijo que si bien Microsoft revisa el manifiesto durante la fase de envío inicial, no hay control sobre el contenido real que se recupera en vivo del servidor del desarrollador cada vez que se abre el complemento, una vez firmado y aprobado. Como resultado, la ausencia de un seguimiento continuo de lo que sirve la URL abre la puerta a riesgos de seguridad no deseados.
«Los complementos de Office son fundamentalmente diferentes del software tradicional», añadió Dardikman. «No envían un paquete de código estático. El manifiesto simplemente declara una URL, y cualquier cosa que esa URL proporcione en un momento dado es lo que se ejecuta dentro de Outlook. En el caso de AgreeTo, Microsoft firmó el manifiesto en diciembre de 2022, apuntando a outlook-one.vercel.app. Esa misma URL ahora ofrece un kit de phishing y el complemento todavía figura en la tienda».
Para contrarrestar los problemas de seguridad que plantea la amenaza, Koi recomienda una serie de medidas que Microsoft puede tomar:
- Active una nueva revisión cuando la URL de un complemento comience a devolver contenido diferente al que había durante la revisión.
- Verifique la propiedad del dominio para asegurarse de que lo administre el desarrollador del complemento y marque los complementos en los que la infraestructura del dominio haya cambiado de manos.
- Implemente un mecanismo para eliminar o marcar complementos que no se hayan actualizado más allá de un período de tiempo determinado.
- La instalación de pantallas cuenta como una forma de evaluar el impacto.
The Hacker News se comunicó con Microsoft para hacer comentarios y actualizaremos la historia si recibimos una respuesta.
Cabe señalar que el problema no se limita únicamente a Microsoft Marketplace o Office Store. El mes pasado, Open VSX anunció planes para aplicar controles de seguridad antes de que las extensiones de Microsoft Visual Studio Code (VS Code) se publiquen en el repositorio de código abierto. De manera similar, VS Code Marketplace de Microsoft realiza un nuevo escaneo masivo periódico de todos los paquetes en el registro.
«El problema estructural es el mismo en todos los mercados que albergan dependencias dinámicas remotas: aprobar una vez, confiar para siempre», dijo Dardikman. «Los detalles varían según la plataforma, pero la brecha fundamental que permitió AgreeTo existe en cualquier lugar donde un mercado revisa un manifiesto en el momento del envío sin monitorear lo que las URL a las que se hace referencia realmente sirven después».