Resumo
Pesquisa pública identificou uma técnica que abusa do framework de add‑ins do Outlook para capturar e exfiltrar conteúdo de e‑mails sem deixar rastros nos logs unificados do Microsoft 365.
O que foi observado
Pesquisadores reportados pelo Cyber Security News (referência a investigação da Varonis dentro da matéria) demonstraram um vetor apelidado de "Exfil Out&Look" que usa add‑ins do Outlook — implementados em HTML/JavaScript e declarados via manifest XML — para interceptar mensagens no evento OnMessageSend. Com a permissão ReadWriteItem o add‑in pode ler assunto, corpo e destinatários e, em seguida, executar um fetch() assíncrono para enviar os dados a um servidor de terceiros.
Vetor e ausência de artefatos
O aspecto crítico é a diferença de registro entre clientes. Quando um add‑in é instalado via cliente Desktop do Outlook, o Event Viewer do Windows gera o Event ID 45, criando um artefato local. Contudo, instalações via Outlook Web Access (OWA) não produziram entradas correspondentes no Unified Audit Log do Microsoft 365, segundo o relatório. Mesmo em tenants com licenças E5 e auditoria ativa, a instalação e execução do add‑in permaneceram não registradas no escopo dos logs unificados examinados pelos pesquisadores.
Alcance e risco
- Não se trata de uma exploração de vulnerabilidade tradicional, mas do abuso de funcionalidades legítimas do produto.
- Ambientes que confiam exclusivamente nos Unified Audit Logs para detecção de exfiltração de e‑mail podem ficar cegos a campanhas usando esse método.
- O vetor pode ser usado por um ator externo que tenha comprometido credenciais ou por um insider malicioso com capacidade de instalar add‑ins.
Resposta do fornecedor
De acordo com a matéria, a Varonis divulgou o problema ao Microsoft Security Response Center em 30/09/2025. O MSRC classificou o achado como uma "low‑severity product bug or suggestion" e, na publicação consultada, indicou que não há correção imediata planejada. A Microsoft não foi citada com um cronograma de mitigação na matéria.
Mitigações recomendadas
- Desabilitar instalações de add‑ins iniciadas por usuários e gerir allow‑lists exclusivamente por políticas no centro administrativo do Microsoft 365.
- Monitorar criações anômalas de service principals e registros de aplicações no Azure AD, que podem indicar implantação em larga escala de add‑ins maliciosos.
- Correlacionar logs de rede (saída HTTP/HTTPS para domínios/URLs suspeitos) com eventos de usuário e com alterações em tenant quando possível, já que o log unificado pode estar incompleto para esse cenário.
- Rever controles de consentimento e reduzir permissões de add‑ins ao mínimo absoluto; auditar periodicamente manifests publicados pela organização.
Limites da cobertura
A matéria resume os testes e observações feitas pelos pesquisadores; faltam na fonte números sobre incidência em produção (quantos tenants afetados) e exemplos públicos de exploração ativa. Também não há declaração direta da Microsoft além da classificação citada, o que limita confirmação independente de escala.
Implicações operacionais
Para CISOs e times de SOC, o caso reforça que dependência exclusiva de logs padrão pode deixar lacunas de visibilidade. Políticas de governança de add‑ins, blindagem do processo de consentimento e telemetria externa (proxy, firewall, DLP na borda) são controles compensatórios necessários até que haja ajuste no produto ou logs mais abrangentes.
Fonte: Cyber Security News (reportagem sobre pesquisa da Varonis)