Investigadores en seguridad han identificado el primer caso documentado de un complemento malicioso de Microsoft Outlook utilizado contra usuarios en escenarios del mundo real. Un programador de reuniones comprometido llamado AgreeTo fue empleado para robar más de 4.000 credenciales de cuentas Microsoft, números de tarjetas de crédito y respuestas a preguntas de seguridad bancarias. AgreeTo comenzó como un proyecto legítimo de código abierto publicado en Microsoft Office 

Investigadores de seguridad han identificado el primer caso documentado de un complemento malicioso de Microsoft Outlook utilizado contra usuarios en escenarios del mundo real.

Un planificador de reuniones comprometido llamado AgreeTo fue utilizado para robar más de 4.000 credenciales de cuentas Microsoft, números de tarjetas de crédito y respuestas a preguntas de seguridad bancarias.

AgreeTo comenzó como un proyecto legítimo de código abierto publicado en la tienda de complementos de Microsoft Office en diciembre de 2022.

Era una herramienta funcional para reuniones con reseñas positivas. Sin embargo, el desarrollador finalmente abandonó el proyecto y eliminó el despliegue asociado en Vercel.

Esto dejó la URL de alojamiento del complemento (outlook-one.vercel.app) huérfana y disponible para su registro. Un atacante reclamó la URL disponible y desplegó un kit de phishing.

Como el complemento nunca fue eliminado de la tienda de Microsoft, la página de phishing del atacante se servía directamente en la barra lateral de confianza de Outlook para cualquiera que aún tuviera el complemento instalado o lo hubiera descargado recientemente.

La falla técnica: dependencias dinámicas remotas

El ataque explotó la arquitectura de los complementos de Office. A diferencia del software instalado tradicional, los complementos son «dependencias dinámicas remotas», esencialmente manifiestos XML que cargan una URL en un iframe.

Etapa	Descripción
La brecha	Microsoft revisa el manifiesto solo durante la presentación inicial (2022 en este caso).
La explotación	Microsoft no verifica continuamente el contenido en vivo alojado en la URL aprobada.
El resultado	El atacante reemplazó la herramienta de programación con una página de inicio de sesión falsa de Microsoft sin activar una nueva revisión de seguridad.

Cuando las víctimas abrían AgreeTo, se les pedía que iniciaran sesión. Un script robaba sus credenciales y direcciones IP, enviando los datos al atacante a través de un bot de Telegram.

Koi Security descubrió la campaña tras identificar el canal de exfiltración del atacante, que estaba mal asegurado.

Recuperaron el conjunto completo de datos de 4.000 víctimas, que incluía detalles bancarios y respuestas de seguridad dirigidas a instituciones canadienses.

El complemento tenía permisos de «ReadWriteItem», lo que técnicamente permitía al atacante leer y modificar los correos electrónicos de los usuarios. Sin embargo, el ataque se centró principalmente en el robo de credenciales.

Microsoft ha eliminado el complemento tras el informe. Este incidente destaca un riesgo crítico en la cadena de suministro: el software de confianza puede volverse silenciosamente malicioso años después de su aprobación si su infraestructura es abandonada.

Investigadores de seguridad han identificado el primer caso documentado de un complemento malicioso de Microsoft Outlook utilizado contra usuarios en escenarios del mundo real. Un planificador de reuniones comprometido llamado AgreeTo fue utilizado para robar más de 4.000 credenciales de cuentas Microsoft, números de tarjetas de crédito y respuestas a preguntas de seguridad bancarias. AgreeTo comenzó como un proyecto legítimo de código abierto publicado en Microsoft Office [...]

Fuentes:
https://cybersecuritynews.com/microsoft-outlook-add-in-stolen-credentials/