Pirmasis kenkėjiškas „Outlook“ priedas pavogė daugiau nei 4 000 „Microsoft“ paskyrų kredencialų

Precedento neturintis atakos vektorius – „Outlook" priedų ekosistema

Kibernetinio saugumo bendrovė „Koi Security" paskelbė atradusi tai, kas laikoma pirmuoju dokumentuotu kenkėjiško „Microsoft Outlook" priedo panaudojimo atveju realioje aplinkoje. Ataka, kuriai suteiktas kodinis pavadinimas „AgreeToSteal", atskleidė rimtą „Microsoft Office" priedų tikrinimo sistemos spragą ir parodė, kaip apleista programinė įranga gali virsti galingu kibernetinių nusikaltėlių įrankiu.

Tyrėjai nustatė, kad daugiau nei 4 000 „Microsoft" paskyrų kredencialų, kredito kortelių numerių ir bankų saugumo atsakymų buvo pavogta per šį kenkėjišką priedą, kuris veikė tiesiai „Outlook" programos šoninėje juostoje – vietoje, kurią vartotojai paprastai laiko saugia.

Kaip veikė ataka: nuo teisėto įrankio iki phishing platformos

Istorija prasideda nuo teisėto atvirojo kodo projekto „AgreeTo" – kalendoriaus sinchronizavimo ir susitikimų planavimo įrankio, sukurto kaip „Outlook" priedas. Kūrėjas jį publikavo „Microsoft Office Add-in Store" parduotuvėje, o paskutinis atnaujinimas buvo atliktas 2022 m. gruodį.

Priedas naudojo „Vercel" platformoje talpinamą serverinę dalį, kuri buvo pasiekiama per konkretų subdomeną outlook-one.vercel.app. Kai kūrėjas apleido projektą ir pašalino savo „Vercel" diegimą, šis subdomenas tapo laisvas – ir bet kas galėjo jį užregistruoti.

Būtent tuo ir pasinaudojo nežinomas kibernetinis nusikaltėlis. Jis užregistravo apleistą „Vercel" subdomeną ir jame patalpino keturių puslapių phishing rinkinį, susidedantį iš:

• Netikro „Microsoft" prisijungimo lango – vizualiai identiškas tikram „Microsoft" autentifikavimo puslapiui
• Slaptažodžio surinkimo formos – kuri fiksuodavo vartotojo įvestus duomenis
• Duomenų eksfiltravimo mechanizmo – pavogtus kredencialus automatiškai siųsdavo per „Telegram Bot API"
• Peradresavimo į tikrą „Microsoft" puslapį – kad auka neįtartų nieko blogo

Visa tai veikė sklandžiai, nes „Office" priedai iš esmės yra XML manifestai, nurodantys „Outlook" programai įkelti konkretų URL adresą iframe elemente. „Microsoft" tikrina ir pasirašo manifestą tik vieną kartą patvirtinimo metu, tačiau nestebi, kas vėliau pateikiama tuo adresu.

Techninis atakos mechanizmas

Kai vartotojas atidarydavo „AgreeTo" priedą „Outlook" programoje, vietoj kalendoriaus sinchronizavimo sąsajos jo šoninėje juostoje pasirodydavo netikras „Microsoft" prisijungimo langas. Kadangi jis atrodė kaip standartinis autentifikavimo prašymas, daugelis vartotojų nieko neįtardami įvesdavo savo prisijungimo duomenis.

„Koi Security" įkūrėjas Idanas Dardikmanas paaiškino: „Tai ta pati atakų klasė, kurią matėme naršyklės plėtiniuose, npm paketuose ir IDE papildiniuose: patikimas platinimo kanalas, kuriame turinys gali pasikeisti po patvirtinimo."

Viena „JavaScript" funkcija surinkdavo kredencialus kartu su aukos IP adresu ir viską siųsdavo užpuolikui per „Telegram Bot API" naudojant paprastą fetch() užklausą. Po to vartotojas būdavo nukreipiamas į tikrą login.microsoftonline.com puslapį – taip sukuriant iliuziją, kad prisijungimas tiesiog nepavyko ir reikia bandyti dar kartą.

Ypač pavojinga buvo tai, kad priedas turėjo „ReadWriteItem" leidimus, kurie teoriškai leido ne tik vaizduoti phishing puslapį, bet ir skaityti bei modifikuoti vartotojo el. laiškus. Tyrėjų teigimu, užpuolikas galėjo pasinaudoti šiais leidimais slaptam prieigai prie aukų pašto dėžučių, tačiau šiuo atveju apsiribojo kredencialų vagystę.

Pavogti duomenys ir platesnė nusikalstama operacija

Tyrėjai aptiko, kad užpuoliko „Telegram" eksfiltravimo kanalas buvo prastai apsaugotas, todėl pavyko nustatyti visą pavogtų duomenų mastą:

• Daugiau nei 4 000 „Microsoft" paskyrų kredencialų
• Kredito kortelių numeriai ir CVV kodai
• Bankų saugumo klausimų atsakymai
• Mokėjimų ir finansiniai duomenys

Dar labiau neramina tai, kad tyrimas atskleidė platesnę nusikalstamą veiklą. Tas pats užpuolikas valdė mažiausiai 12 skirtingų phishing rinkinių, kurių kiekvienas imitavo skirtingą prekės ženklą – Kanados interneto paslaugų teikėjus, bankus ir el. pašto tiekėjus. Tarp pavogtų duomenų buvo informacija, susijusi su „Interac e-Transfer" mokėjimų perėmimu, o tai rodo profesionalią, daugiakryptę phishing operaciją.

„Microsoft" reakcija ir laiko juosta

Verta atkreipti dėmesį, kad „Google" pašalino nebegyvą „AgreeTo" „Chrome" plėtinį dar 2025 m. vasarį, tačiau „Microsoft Office Store" parduotuvė toliau talpino „Outlook" priedą, nukreipiantį į jau perimtą domeną. Tai reiškia, kad ataka galėjo vykti beveik metus, kol buvo aptikta.

Iki 2026 m. vasario 12 d. „Microsoft" pašalino „AgreeTo" priedą iš parduotuvės. Vartotojams, kurie naudojo šį priedą po 2023 m. gegužės mėnesio, rekomenduojama nedelsiant imtis apsaugos priemonių.

Ką turėtų daryti paveikti vartotojai

Jei kada nors naudojote „AgreeTo" priedą, tyrėjai rekomenduoja atlikti šiuos veiksmus:

• Nedelsiant pašalinti priedą iš „Outlook", jei jis vis dar įdiegtas
• Pakeisti „Microsoft" paskyros slaptažodį ir įjungti dviejų veiksnių autentifikavimą
• Atnaujinti slaptažodžius visose paslaugose, kuriose naudojote tokius pačius ar panašius prisijungimo duomenis
• Peržiūrėti „Microsoft" paskyros prisijungimų istoriją ir ieškoti įtartinos veiklos
• Patikrinti el. paštą dėl neteisėtų persiuntimo taisyklių ar slaptažodžio keitimo užklausų
• Stebėti mokėjimų išrašus dėl galimų neteisėtų operacijų

Platesnės pamokos ir „Microsoft" saugumo spragos

Ši ataka atskleidė esminę „Microsoft Office" priedų ekosistemos problemą: vienkartinio tikrinimo modelis nėra pakankamas. „Koi Security" rekomendavo „Microsoft" įdiegti keletą svarbių pakeitimų:

• Pakartotinio tikrinimo mechanizmą, kai priedo URL pateikia kitokį turinį nei patvirtinimo metu
• Domeno nuosavybės verifikavimą, užtikrinantį, kad priedo kūrėjas vis dar kontroliuoja naudojamą domeną
• Automatinį neprižiūrimų priedų pašalinimą iš parduotuvės po ilgo neaktyvumo laikotarpio
• Diegimų skaičiaus rodymą, leidžiantį įvertinti galimą poveikio mastą incidento atveju

Ši situacija primena panašias tiekimo grandinės atakas, kurios jau buvo aptiktos „Chrome Web Store", npm registre ir „Visual Studio Code" plėtinių rinkoje. Kaip pažymėjo „Koi Security" tyrėjai, problema yra sisteminė: patikimi platinimo kanalai, kuriuose turinys gali pasikeisti po patvirtinimo, tampa vis patrauklesniu taikiniu kibernetiniams nusikaltėliams.

„Office" priedai naudoja manifesto failą, kuris deklaruoja URL, kurio turinys yra gaunamas ir pateikiamas realiu laiku – tačiau „Microsoft" šio turinio nuolat nestebi. Tai sukuria pavojingą akląją zoną.

Organizacijoms rekomenduojama peržiūrėti savo „Outlook" priedų politiką, apriboti nepatvirtintų priedų diegimą ir reguliariai audituoti jau įdiegtus priedus, ypač tuos, kurie ilgai nebuvo atnaujinti.

Šaltiniai

• The Hacker News – First Malicious Outlook Add-In Found Stealing 4,000+ Microsoft Credentials
• Malwarebytes – Outlook add-in goes rogue and steals 4,000 credentials and payment data
• BleepingComputer – Microsoft Store Outlook add-in hijacked to steal 4,000 Microsoft accounts
• Koi Security – AgreeToSteal: The First Malicious Outlook Add-In