Au départ, AgreeTo n’était qu’un petit outil pratique de prise de rendez‑vous, publié sur le Microsoft Add‑in Store et maintenu en open source. Après une dernière mise à jour fin 2022, le projet est laissé à l’abandon en 2023 ; pourtant l’add‑in reste listé et fonctionnel dans l’écosystème Microsoft 365, parce que son mécanisme repose sur un manifeste XML qui charge une page Web externe à chaque ouverture, sans contrôle continu du contenu après la validation initiale.
Le point de bascule : outlook‑one.vercel.app
Toute l’attaque tient dans un nom de domaine chargé dynamiquement par Outlook : outlook‑one.vercel.app. Lorsque le développeur supprime son déploiement Vercel, ce sous‑domaine devient orphelin et re‑réservable. L’add‑in, lui, continue de pointer dessus, si bien qu’un acteur malveillant n’a plus qu’à reprendre ce même sous‑domaine, héberger son propre contenu, et se retrouver servi par Outlook comme s’il était le contenu d’origine. Ce scénario s’apparente à un dangling domain : la référence reste valable, mais la propriété change silencieusement, et l’attaquant hérite de la chaîne de confiance sans toucher au manifeste signé.
L’élément central de cette compromission est un nom de domaine : outlook‑one.vercel.app. Ce sous‑domaine était l’endroit exact où Microsoft chargeait dynamiquement l’interface de l’extension. Lorsqu’il a été libéré, il aurait dû être considéré comme un actif sensible, un point d’entrée critique dans la chaîne de confiance de l’add‑in. Laisser un domaine ou sous‑domaine revenir dans le pool des noms disponibles est l’un des scénarios les plus dangereux en cybersécurité.
Abuser d’un hébergeur légitime pour contourner les défenses
Au lieu d’un domaine louche, l’attaquant s’appuie sur vercel.app, un fournisseur très répandu et à forte réputation, pour que les filtres de sécurité ne bloquent pas par défaut. À l’intérieur du volet d’Outlook, l’add‑in affiche une imitation quasi parfaite de la page de connexion Microsoft ; la victime entre ses identifiants, qui sont exfiltrés via un bot Telegram avant une redirection propre vers login.microsoftonline.com, rendant la manœuvre indétectable. Le choix d’un sous‑domaine vercel.app capitalise sur la réputation globale du fournisseur et l’usage massif d’hébergements mutualisés par des services légitimes.
Ce n’était pas une attaque sophistiquée : aucune exploitation technique avancée, aucune compromission complexe. L’opération repose sur un sous‑domaine oublié, une confiance implicite et une architecture qui ne revalide jamais le contenu chargé après publication. C’est une attaque low‑tech à fort impact, rendue possible par l’absence de surveillance du cycle de vie des noms de domaine liés à des services actifs.
Ce qui rend cette attaque inquiétante, c’est qu’elle ne repose sur aucune vulnérabilité logicielle : elle exploite une dépendance Web et une validation initiale statique. Les add‑ins Office sont des manifestes qui ordonnent d’embarquer une URL dans une iframe ; Microsoft évalue le manifeste une fois, signe et référence dans le store, mais ne re‑scrute pas le contenu servi par l’URL des mois ou des années plus tard. Ce modèle approuvé une fois, chargé pour toujours élargit la surface d’attaque aux fournisseurs d’hébergement et aux enregistrements DNS liés.
Dans cette affaire, le nom de domaine n’est pas un détail, c’est le mécanisme d’exécution lui‑même. Le manifeste de l’add‑in référence une URL ; tant que l’URL répond, Outlook charge ce que le serveur sert. Quand outlook‑one.vercel.app passe du statut déployé par le développeur légitime à ré‑alloué à un tiers, c’est la logique entière de l’add‑in qui bascule côté attaquant sans changer un octet dans le store. La défense doit traiter un sous‑domaine technique en production comme un actif critique, au même titre qu’un certificat, un secret ou un dépôt Git.
Ce que la chaîne d’approbation ne voit pas… et devrait voir
La validation actuelle des add‑ins se focalise sur le manifeste, pas sur la persistance de la confiance dans le temps. Le contenu de l’URL n’est pas ré‑audité alors même que sa propriété, son hébergement ou sa finalité peuvent changer du tout au tout. La conséquence ici a été la distribution d’une page d’authentification piégée depuis une URL conforme au manifeste mais plus du tout contrôlée par l’éditeur original. Plus largement, la supply chain moderne a déplacé le risque vers la résolution des dépendances Web dynamiques.
Comment cette attaque aurait pu être stoppée côté domaines
Une surveillance de domaine bien configurée met en évidence le cycle fatal : disparition du déploiement Vercel, sous‑domaine libéré, ré‑enregistrement par un nouveau compte, puis mise en ligne d’un contenu inédit aux caractéristiques différentes. En corrélant ces signaux avec le fait que l’URL est référencée par une application ou un add‑in en production, on obtient un indicateur de risque prioritaire, à traiter avant que l’attaquant ne serve son kit.
Le rôle du certificat *.vercel.app : un camouflage quasi parfait
L’utilisation du certificat wildcard *.vercel.app a rendu cette attaque quasiment indétectable. Comme le montre l’image de gauche, ce certificat couvre automatiquement l’ensemble des sous‑domaines de Vercel, ce qui permet à un domaine réapproprié comme outlook-one.vercel.app de bénéficier immédiatement d’un TLS parfaitement valide. À l’inverse, le certificat d’Outlook/Microsoft (image de droite) liste des domaines strictement contrôlés et limités à l’écosystème Microsoft. Ce contraste explique pourquoi le sous‑domaine détourné a continué d’apparaître légitime : aucune anomalie TLS, aucune alerte, aucune différence visible, ni pour Outlook, ni pour les systèmes de sécurité.
Vigidomaine : restaurer la visibilité sur les actifs DNS critiques
Vigidomaine apporte une surveillance fiable des noms de domaine et de leurs configurations DNS. L’outil détecte les variations publiques, les modifications techniques visibles, les évolutions DNS ainsi que les risques liés à l’expiration d’un domaine pouvant conduire à sa réappropriation. En surveillant ces signaux faibles, Vigidomaine permet d’anticiper les situations à risque et d’éviter qu’un simple oubli ou une mauvaise gestion de domaine ne se transforme en compromission à grande échelle. Tu peux le tester gratuitement dès maintenant pour renforcer ta sécurité et anticiper les menaces avant qu’elles ne deviennent des incidents : Vigidomaine
source :
https://www.it-connect.fr/comment-une-extension-outlook-officielle-a-ete-piegee-pour-derober-4-000-comptes-microsoft/
https://www.numerama.com/cyberguerre/2178393-oubliee-puis-piratee-cet-extension-outlook-sest-transformee-en-outil-de-vol-de-mots-de-passe.html