Prvi zlonamerni Outlook dodatek “AgreeTo” je ukradel več kot 4.000 Microsoft prijav
Raziskovalci so odkrili prvi zlonamerni Microsoft Outlook add-in v naravi, ki je prek prevzema opuščenega URL-ja v manifestu prikazal lažno prijavo in ukradel 4.000+ Microsoft poverilnic. Preverite, kako deluje napad AgreeToSteal in kako se zaščititi.
Kaj se je zgodilo in zakaj je to pomembno?
Raziskovalci so zaznali prvi znani zlonamerni Microsoft Outlook dodatek, opažen “v naravi”. Napad je izkoristil opuščen, prej legitimen dodatek, ki je bil še vedno prisoten v ekosistemu in je užival zaupanje uporabnikov. Napadalec je prevzel naslov, na katerega je kazal dodatek, ter uporabnikom prikazal ponarejeno Microsoft prijavno stran. Tako je prišlo do kraje več kot 4.000 poverilnic, kar napad uvršča med resne incidente dobavne verige. Ključna lekcija je, da “odobreno v trgovini” ni nujno enako “varno danes”.
- Prvi zabeležen zlonamerni Outlook add-in v praksi
- Zloraba zaupanja v uradni distribucijski kanal
- Ponarejena prijava v Microsoft račun
- 4.000+ ukradenih prijavnih podatkov
- Primer dobavne verige (supply chain) skozi Marketplace
Kako je napadalec izkoristil “luknjo” v dobavni verigi?
Office dodatki pogosto temeljijo na manifestu, ki definira, od kod se naloži vsebina dodatka. Če URL ali domena s časom postane opuščena, jo lahko prevzame druga oseba in začne streči zlonamerno vsebino. V tem primeru je manifest kazal na naslov, gostovan na Vercel, ki je po opustitvi postal ponovno “prevzemljiv”. Napadalec je na ta naslov namestil phishing komplet, ki je prestregel vnos uporabniškega imena in gesla. Nato je uporabnika preusmeril na pravo Microsoft prijavo, da je napad deloval manj sumljivo. 
- Manifest kaže na oddaljeni URL, ki se nalaga sproti
- Prevzem opuščenega gostovanja/URL-ja (t. i. “zombie” scenarij)
- Prikaz lažne Microsoft prijave znotraj Outlooka
- Zajem poverilnic in prikrita preusmeritev na legitimen login
- Tipičen vzorec supply chain napada prek “zaupanja vredne” distribucije
Zakaj so Outlook/Office dodatki posebej tvegani?
Dodatki tečejo znotraj Outlook okolja, kjer se obdeluje največ občutljivih poslovnih komunikacij. To pomeni, da je uporabnik psihološko bolj nagnjen k zaupanju, saj je vse “videti uradno” in v znanem vmesniku. Poleg tega lahko dodatki zahtevajo dovoljenja, ki omogočajo branje ali celo spreminjanje elementov pošte, kar odpira vrata precej hujšim scenarijem. V opisanem primeru je bil izpostavljen tudi nivo dovoljenj (npr. Read/Write), ki bi teoretično omogočil tiho izčrpavanje vsebine nabiralnika. Če platforma ne spremlja, kaj se na oddaljenem URL-ju spreminja po odobritvi, nastane nevarna slepa pega.
- Delovanje znotraj Outlooka poveča “implicitno zaupanje”
- Dostop do e-pošte in metapodatkov je lahko zelo širok
- Dovoljenja lahko omogočajo branje/spreminjanje elementov pošte
- Napad se lahko izvaja tiho, brez klasične namestitve malwara
- Sprememba vsebine na URL-ju po odobritvi je kritična točka
Kaj lahko organizacije naredijo takoj?
Najhitrejši korak je pregled nameščenih Office/Outlook dodatkov in odstranitev vsega, kar ni nujno za delo. V poslovnih okoljih je smiselno uvesti politiko “allow-list” (dovoljeni dodatki) in blokirati ostale, tudi če so iz uradne trgovine. Uporabnike je treba opozoriti, da je prijavni poziv znotraj dodatka lahko phishing, še posebej, če se pojavi nenadoma ali brez jasnega razloga. Smiselno je spremljati nenavadne prijave v Microsoft 365 (lokacije, naprave, čas) in takoj resetirati gesla ob sumu. Dodatno zaščito prinese MFA in uporaba pogojnega dostopa (Conditional Access), ki napadalcu oteži zlorabo ukradenih gesel.
- Inventura dodatkov in odstranitev nepotrebnih
- Allow-list za dodatke in omejitve namestitev
- Ozaveščanje o phishing prijavah znotraj vtičnikov
- Nadzor prijav in takojšnje odzivanje (reset, izklop sej)
- MFA + Conditional Access kot standard
Kaj bi moral izboljšati ponudnik platforme?
Ključni ukrep je ponovni pregled dodatka, ko se vsebina na deklariranem URL-ju bistveno spremeni glede na čas odobritve. Smiselna je tudi verifikacija lastništva domene oziroma gostovanja, da se zmanjša možnost prevzema po opustitvi projekta. Platforma bi morala zaznati dolgotrajno neaktivnost dodatka (brez posodobitev) in ga označiti ali odstraniti, preden postane “zombie”. Uporabnikom pomaga več transparentnosti, na primer prikaz namestitev ali drugih signalov, ki olajšajo oceno tveganja. Najpomembneje pa je kontinuirano spremljanje Marketplace vsebin, ker “enkrat odobreno” v svetu dinamičnih URL-jev ni dovolj.
- Re-review ob spremembi vsebine na URL-ju
- Preverjanje lastništva domene/gostovanja in sprememb infrastrukture
- Delisting/označevanje dodatkov brez posodobitev po določenem času
- Več signalov za uporabnike (npr. število namestitev)
- Stalno spremljanje dinamičnih odvisnosti v Marketplace
Viri
- The Hacker News – “First Malicious Outlook Add-In Found Stealing 4,000+ Microsoft Credentials”
- Koi Security (koi.ai) – “AgreeToSteal: The First Malicious Outlook Add-In…”
- Microsoft Learn – Office Add-ins manifest (opis vloge manifesta)
- BleepingComputer – poročilo o zlorabi Outlook add-ina in obsegu kraje
