文章总结： 网络安全研究人员发现首个恶意Outlook插件攻击事件，攻击者劫持弃用插件域名部署钓鱼页面，窃取超4000个凭据。该事件揭示了Office加载项‘一次批准永久信任’的机制缺陷，即平台缺乏对动态内容的持续监控。建议实施内容变更重审、域名所有权验证及清理陈旧插件等措施以应对供应链风险。 综合评分： 86 文章分类： 供应链安全,恶意软件,威胁情报,漏洞分析

首个被发现的恶意Outlook插件窃取了4000多个微软凭据

原创

网络安全9527 网络安全9527

安全圈的那点事儿

2026年2月12日 13:45 辽宁

网络安全研究人员发现了他们所说的首个在实际环境中检测到的恶意微软 Outlook 插件。

Koi Security详细报道了这起罕见的供应链攻击事件：一名身份不明的攻击者盗用了一个现已弃用的合法插件的域名，并以此为平台提供了一个伪造的微软登录页面，窃取了超过 4000 个用户凭证。这家网络安全公司将此次攻击活动命名为“AgreeToSteal”（同意窃取） 。

涉事的 Outlook 加载项是AgreeTo，其开发者宣称该加载项允许用户将不同的日历整合到一个地方，并通过电子邮件共享各自的空闲时间。该加载项上次更新是在 2022 年 12 月。

Koi 的联合创始人兼首席技术官 Idan Dardikman 告诉 The Hacker News，该事件代表着供应链攻击途径的扩大。

“这与我们之前在浏览器扩展、npm 包和 IDE 插件中看到的攻击类型相同：通过可信的分发渠道，内容可以在获得批准后发生更改，”Dardikman 说。“Office 加载项尤其令人担忧，原因在于多种因素的结合：它们在 Outlook 中运行，而用户在 Outlook 中处理最敏感的通信；它们可以请求读取和修改电子邮件的权限；而且它们通过微软自己的应用商店分发，而微软的应用商店本身就带有隐性信任。”

“AgreeTo 的案例揭示了另一个层面：原开发者并没有做错任何事。他们开发了一款合法的产品，然后继续开发其他项目。攻击利用了开发者放弃项目和平台发现之间的时间差。所有托管远程动态依赖项的市场都容易受到这种攻击。”

该攻击的核心在于利用 Office 加载项的工作原理以及对 Marketplace 上发布的加载项缺乏定期内容监控的漏洞。根据微软的文档，加载项开发者需要创建帐户并将解决方案提交到合作伙伴中心，之后还需要经过审核流程。

此外，Office 加载项会使用一个清单文件来声明一个 URL，每次在应用程序的 iframe 元素中打开加载项时，都会从开发者的服务器实时获取并提供该 URL 的内容。然而，没有任何措施可以阻止恶意用户控制已过期的域名。

以 AgreeTo 为例，其清单文件指向 Vercel 上托管的 URL（“outlook-one.vercel[.]app”），该 URL 在开发者的 Vercel 部署被删除后变得可认领，因为该部署在 2023 年左右基本上已成为弃用软件。截至撰写本文时，该基础设施仍然运行。

攻击者利用这种行为，在该 URL 上设置了一个钓鱼工具包，显示一个虚假的 Microsoft 登录页面，捕获输入的密码，通过 Telegram Bot API 窃取详细信息，最终将受害者重定向到真正的 Microsoft 登录页面。

但 Koi 警告说，这起事件本可能更糟。鉴于该插件配置了“ ReadWriteItem ”权限——允许其读取和修改用户的电子邮件——攻击者可能利用这一漏洞部署 JavaScript 代码，从而秘密窃取受害者的邮箱内容。

这些发现再次凸显了重新扫描上传到市场和存储库的软件包和工具以标记恶意/可疑活动的必要性。

达迪克曼表示，虽然微软会在初始提交阶段审核清单文件，但一旦插件获得签名和批准，每次打开插件时，开发者服务器都会实时获取实际内容，微软便无法控制这些内容。因此，由于缺乏对URL所指向内容的持续监控，可能会带来意想不到的安全风险。

“Office 加载项与传统软件有着本质区别，”达迪克曼补充道。“它们不提供静态代码包。清单文件只是声明一个 URL，而 Outlook 中运行的就是该 URL 在任何给定时刻指向的内容。以 AgreeTo 为例，微软在 2022 年 12 月签署了指向 outlook-one.vercel.app 的清单文件。而现在，同一个 URL 却指向了一个钓鱼网站，但该加载项仍然在应用商店中列出。”

为了应对这一威胁带来的安全问题，Koi建议微软采取以下几项措施——

• 当插件的 URL 返回的内容与审核期间返回的内容不同时，触发重新审核。
• 验证域名的所有权，确保其由插件开发者管理，并标记域名基础架构已变更的插件。
• 实施一种机制，用于将超过一定时间未更新的插件从列表中移除或标记。
• 展览装置可以作为评估影响的一种方式。

值得注意的是，这个问题并非仅限于微软应用商店或 Office 应用商店。上个月，Open VSX宣布计划在将微软 Visual Studio Code (VS Code) 扩展发布到开源仓库之前强制执行安全检查。同样，微软的 VS Code 应用商店也会定期对注册表中的所有软件包进行批量重新扫描。

“所有托管远程动态依赖项的市场都存在同样的结构性问题：一次批准，永久信任，”Dardikman说道。“具体细节因平台而异，但AgreeTo得以实现的根本缺陷在于，任何市场在提交时审核清单，却不监控引用的URL之后实际提供的服务。”

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：安全圈的那点事儿 网络安全9527 网络安全9527《首个被发现的恶意Outlook插件窃取了4000多个微软凭据》