Un importante punto ciego arquitectónico en el ecosistema de Microsoft 365 permite a los actores de amenazas exfiltrar datos sensibles de correos electrónicos sin dejar rastros forenses. Denominada “Exfil Out&Look”, esta técnica de ataque aprovecha el marco de complementos de Outlook para interceptar comunicaciones salientes de manera sigilosa. A diferencia de los métodos tradicionales de explotación que dependen de vulnerabilidades de software, esta técnica abusa de funciones legítimas dentro de Outlook

Un punto ciego arquitectónico significativo en el ecosistema de Microsoft 365 permite a los actores de amenazas exfiltrar datos sensibles de correos electrónicos sin dejar rastros forenses.

Denominada “Exfil Out&Look”, esta técnica de ataque aprovecha el marco de complementos de Outlook para interceptar comunicaciones salientes de manera sigilosa.

A diferencia de los métodos tradicionales de explotación que dependen de vulnerabilidades de software, esta técnica abusa de funciones legítimas dentro de Outlook Web Access (OWA) para eludir los Unified Audit Logs, haciendo que la exfiltración sea invisible para las herramientas estándar de monitoreo de seguridad.

Análisis técnico de Exfil Out&Look

El mecanismo central del ataque Exfil Out&Look se basa en el mal uso de los complementos de Outlook, que son aplicaciones desarrolladas con tecnologías web estándar como HTML, CSS y JavaScript.

Estos complementos funcionan a través de un archivo de manifiesto (XML) que dicta los permisos y los puntos de integración dentro del producto de Office.

El equipo de investigación de Varonis demostró que un actor malicioso podría crear un complemento utilizando el evento OnMessageSend, una función diseñada para permitir que aplicaciones legítimas procesen correos electrónicos antes de que se envíen.

Al configurar el archivo de manifiesto con permisos mínimos, específicamente la capacidad ReadWriteItem, el complemento puede acceder a la línea de asunto, el contenido del cuerpo y los detalles del destinatario de un correo electrónico activo.

De manera crucial, este nivel de acceso no activa flujos de consentimiento de alta prioridad que normalmente alertarían a los usuarios o administradores. Una vez que el usuario envía un correo electrónico, la carga útil maliciosa de JavaScript se ejecuta de manera asíncrona, utilizando una simple llamada fetch() para transmitir los datos capturados a un servidor de terceros controlado por el atacante.

Este proceso ocurre en segundo plano sin interrumpir la experiencia del usuario ni requerir privilegios elevados como Mailbox.Read, que de otro modo atraerían escrutinio.

El aspecto más alarmante de este descubrimiento es la discrepancia en el comportamiento de registro entre Outlook Desktop y Outlook Web Access. Cuando se instala un complemento a través del cliente de Outlook Desktop, el Visor de Eventos de Windows genera el Evento ID 45, creando un artefacto local que los equipos forenses pueden investigar.

Sin embargo, Varonis descubrió que las instalaciones realizadas a través de OWA no generan entradas correspondientes en el Unified Audit Log de Microsoft 365.

Esta brecha en el registro crea un escenario en el que un atacante, ya sea un actor de amenazas externo que ha comprometido una cuenta o un insider malicioso, puede instalar un complemento de recolección de datos que persiste indefinidamente.

Incluso en entornos con licencias Microsoft 365 E5 y auditoría completa habilitada, la instalación y ejecución posterior del complemento permanecen sin registrar.

La investigación destaca que, aunque el tráfico saliente es técnicamente visible en el límite de la red, no hay correlación dentro del inquilino de Microsoft 365 que indique que se accedió o exfiltró el contenido del correo electrónico.

Varonis reveló estos hallazgos al Microsoft Security Response Center (MSRC) el 30 de septiembre de 2025. Tras su revisión, Microsoft clasificó el problema como un “error de producto o sugerencia de baja gravedad” e indicó que no se planea una solución o parche inmediato. En consecuencia, la técnica “Exfil Out&Look” sigue siendo un vector viable para el robo de datos.

Los equipos de seguridad deben cambiar su enfoque de depender de los registros predeterminados a una gobernanza proactiva para mitigar este riesgo. Los administradores deben imponer políticas estrictas sobre la instalación de complementos, bloqueando las instalaciones iniciadas por usuarios y gestionando listas de permitidos exclusivamente a través del centro de administración de Microsoft 365.

Además, las organizaciones deben monitorear la creación de principales de servicio inusuales o registros de aplicaciones en Azure Active Directory, ya que estos pueden ser los únicos indicadores de una implementación a nivel organizacional de un complemento malicioso.

Fuentes:
https://cybersecuritynews.com/outlook-add-ins-weaponized/