⚙️ Эти ключи можно найти в разделе реестра:
⏺️HKCU\Software\Microsoft\Office\*\Outlook\WebView\
⏺️HKCU\SOFTWARE\Microsoft\Office\*\Outlook\Today
Сама уязвимость заключается в следующем:
1️⃣ Злоумышленник убеждает пользователя открыть фишинговое письмо с ВПО, меняющее ключи реестра и создющее новый параметр с именем URL, значением которого является вредоносная ссылка.
2️⃣Далее после изменения ключей, Outlook загружает и отображает HTML-страницу при выборе соответствующей вкладки, вместо стандартного содержимого.
3️⃣С этой страницы злоумышленники могут запускать VBScript или JScript с привилегиями, аналогичными запуску скриптов через cscript или wscript.
🚨 Злоумышленники могут использовать данный метод для сохранения доступа и распространения на другие системы, используя Outlook как C2-платформу. Так как процесс outlook.exe является доверенным, это упрощает обход существующих средств защиты.
❗️ Для осуществления проверки узлов на предмет эксплуатации CVE-2017-1774 необходимо проверить пути реестра во вложении на наличие каких-либо ссылок, ведущих на внешние ресурсы (http/https).
💱 Для автоматизации проверки реестра на узлах можно использовать готовый инструмент NotRuler.
Для предотвращения эксплуатации уязвимости требуется отключить параметр WebView для папок в Outlook, изменив следующие ключи реестра:
HKEY_CURRENT_USER\Software\Microsoft\Office\\Outlook\WebView"Disable"= dword:00000001
HKEY_CURRENT_USER\Software\Microsoft\Office\\Outlook\Security"EnableRoamingFolderHomepages"= dword:00000000
HKEY_CURRENT_USER\Software\Microsoft\Office\\Outlook\Security"NonDefaultStoreScript"= dword:00000000
HKEY_CURRENT_USER\Software\Microsoft\Office\\Outlook\Security\"EnableUnsafeClientMailRules"= dword:00000000