Badacze bezpieczeństwa ujawnili słabość w Microsoft Exchange, która może pozwalać atakującym wysyłać do podatnych organizacji wiadomości e-mail wyglądające tak, jakby pochodziły od dowolnego użytkownika.
Problem, opisany przez szwajcarską firmę zajmującą się cyberbezpieczeństwem InfoGuard jako Ghost-Sender, dotyczy organizacji korzystających z Exchange Online lub lokalnego Microsoft Exchange w trybie hybrydowym, w których jako zewnętrzny rekord MX domeny skonfigurowano serwer pocztowy lub filtr antyspamowy innego dostawcy.
W podatnych konfiguracjach atakujący mogą wysyłać sfałszowane wiadomości, które wyglądają, jakby pochodziły od nadawców wewnętrznych lub zewnętrznych, w tym od członków zarządu, z adresów rozliczeniowych, od zaufanych partnerów lub z oficjalnych kont Microsoft.
Ryzyko jest poważne, ponieważ takie wiadomości mogą zostać dostarczone bez wyraźnych ostrzeżeń, nawet jeśli dla domeny sfałszowanego nadawcy skonfigurowano zasady SPF, DKIM i DMARC.
Czym jest Ghost-Sender?
Ghost-Sender nie jest klasyczną kampanią złośliwego oprogramowania ani nowo załataną luką CVE. To słabość w sposobie, w jaki niektóre konfiguracje Exchange obsługują przychodzące wiadomości e-mail, gdy organizacja używa zewnętrznej bramy pocztowej jako rekordu MX.
Rekordy MX informują internet, który serwer pocztowy odpowiada za odbieranie poczty dla danej domeny.
Wiele organizacji nie kieruje swoich rekordów MX bezpośrednio do Microsoft 365. Zamiast tego stosuje przed Exchange Online bramę pocztową innego dostawcy, bezpieczną bramę poczty e-mail, filtr antyspamowy lub usługę przekazywania poczty.
Takie rozwiązanie jest powszechne i często w pełni uzasadnione.
Problem polega na tym, że w niektórych konfiguracjach Exchange Online może przyjmować pocztę przychodzącą zbyt szeroko, gdy organizacja używa zewnętrznego rekordu MX i nie wdrożyła dodatkowych mechanizmów walidacji.
Według InfoGuard może to pozwolić atakującym wysyłać wiadomości, które wyglądają, jakby pochodziły od dowolnej osoby.
Dlaczego to jest niebezpieczne
Podszywanie się pod nadawcę w e-mailach staje się znacznie groźniejsze, gdy sfałszowany nadawca wygląda na wewnętrznego.
Atakujący mógłby wysłać wiadomość, która wygląda, jakby pochodziła od:
- prezesa zarządu
- kierownictwa działu finansów
- działu HR
- działu płac
- wsparcia IT
- skrzynki rozliczeniowej
- zaufanego dostawcy
- powiadomień Microsoft
- innego pracownika organizacji
W przypadku sfałszowanych nadawców wewnętrznych Outlook może nawet wyświetlić zdjęcie profilowe nadawcy, przez co wiadomość wygląda na bardziej wiarygodną dla odbiorców.
Tworzy to potężny scenariusz phishingu i oszustwa.
Atakujący mógłby użyć Ghost-Sender do wysyłania fałszywych faktur, pilnych próśb o płatność, wiadomości wyłudzających dane uwierzytelniające, przynęt z udostępnianiem dokumentów lub poleceń, które wyglądają, jakby pochodziły od zaufanego wewnętrznego przełożonego.
Dlaczego SPF, DKIM i DMARC mogą Cię nie uchronić
SPF, DKIM i DMARC to ważne technologie uwierzytelniania poczty e-mail, ale Ghost-Sender pokazuje, że nie zawsze wystarczają.
InfoGuard twierdzi, że problem może wystąpić niezależnie od skonfigurowanych zasad SPF, DKIM i DMARC w domenie sfałszowanego nadawcy.
Ma to znaczenie, ponieważ wiele organizacji zakłada, że wymuszenie DMARC zatrzyma sfałszowaną pocztę.
Jeśli jednak Exchange przyjmie wiadomość zaufaną ścieżką przepływu poczty albo błędnie zinterpretuje sposób, w jaki wiadomość weszła do organizacji, standardowa logika weryfikacji zewnętrznych nadawców może nie chronić odbiorcy tak, jak się tego spodziewano.
Dlatego architektura przepływu poczty ma znaczenie.
Mechanizmy uwierzytelniania poczty e-mail trzeba łączyć z poprawnymi konektorami Exchange, regułami walidacji i właściwą konfiguracją zaufanej bramy.
Kogo to może dotyczyć?
Organizacje mogą być narażone, jeśli używają:
- Exchange Online
- lokalnego Exchange w trybie hybrydowym
- filtra antyspamowego lub bramy pocztowej innego dostawcy jako zewnętrznego rekordu MX
- konfiguracji MX wystawionej na zewnątrz bez dodatkowej walidacji w Exchange
- przepływu poczty, który przekazuje wiadomości do Exchange Online bez rygorystycznej walidacji nadawcy
InfoGuard twierdzi, że jest to powszechny błąd konfiguracji i że mniej niż połowa organizacji z zewnętrznym rekordem MX wydaje się mieć wdrożone środki zaradcze.
Oznacza to, że wiele organizacji korzystających z popularnych architektur bezpiecznych bram pocztowych może musieć sprawdzić swoją konfigurację.
Jak prosty jest atak?
Według InfoGuard atak może być bardzo prosty.
Jeśli organizacja używa zewnętrznego rekordu MX i nie skonfigurowano dodatkowych zabezpieczeń, atakujący może być w stanie wysłać sfałszowaną wiadomość za pomocą prostego polecenia.
Atakujący może wybrać pozorny adres nadawcy, w tym adres użytkowników wewnętrznych.
Ta prostota zwiększa ryzyko, ponieważ technika nie wymaga złożonego łańcucha exploitów, instalacji złośliwego oprogramowania ani przejęcia konta użytkownika.
Wykorzystuje zaufanie do przepływu poczty.
Możliwe scenariusze nadużyć
Ghost-Sender mógłby wspierać kilka rodzajów ataków.
Business email compromise
Atakujący mogliby wysyłać instrukcje płatności, które wyglądają, jakby pochodziły od członków zarządu, pracowników działu finansów lub dostawców.
Phishing wyłudzający dane uwierzytelniające
Fałszywe wiadomości od wewnętrznego działu IT mogłyby kierować użytkowników na strony służące do kradzieży danych logowania.
Oszustwa fakturowe
Atakujący mogliby podszywać się pod skrzynki rozliczeniowe lub dostawców i wysyłać fałszywe faktury.
Podszywanie się pod kadrę zarządzającą
Wiadomości wyglądające, jakby pochodziły od CEO lub CFO, mogłyby wywierać na pracownikach presję, by podjęli pilne działania.
Nadużycie zaufania wewnętrznego
Ponieważ Outlook może wyświetlać wewnętrzne zdjęcia profilowe, sfałszowane wiadomości mogą wyglądać na bardziej wiarygodne niż zwykłe zewnętrzne próby phishingu.
Podszywanie się pod partnerów
Atakujący mogliby fałszować adresy zaufanych partnerów zewnętrznych, klientów lub dostawców usług.
Dzięki temu słabość ta ma znaczenie zarówno dla ryzyka podszywania się pod nadawców wewnętrznych, jak i zewnętrznych.
Stanowisko Microsoftu i oś czasu ujawnienia
InfoGuard twierdzi, że zgłosił problem do Microsoft Security Response Center w kwietniu.
Według InfoGuard Microsoft zamknął zgłoszenie jako sprawę spoza MSRC, rzekomo traktując problem nie jako lukę w zabezpieczeniach, lecz jako ograniczenie architektury lub problem konfiguracji.
InfoGuard podał również, że wsparcie techniczne Microsoftu zasugerowało zmianę rekordu MX na Microsoft 365 lub dodanie dodatkowych nagłówków w przekazywanych wiadomościach e-mail, co według badaczy nie rozwiązuje problemu w pełni.
Dark Reading zwróciło się do Microsoftu o komentarz, ale w źródłowym raporcie nie podano odpowiedzi do czasu publikacji.
Debata wokół Ghost-Sender podkreśla ważne pytanie: gdzie kończy się odpowiedzialność dostawcy, a zaczyna odpowiedzialność klienta za konfigurację?
Dla obrońców odpowiedź jest praktyczna. Jeśli konfiguracja pozwala na podszywanie się pod nadawcę, trzeba ją naprawić niezależnie od tego, jak zostanie zaklasyfikowany problem.
Zalecane środki zaradcze
InfoGuard opisuje dwa główne podejścia do ograniczenia ryzyka.
1. Skonfiguruj konektor organizacji partnerskiej
Organizacje mogą skonfigurować konektor organizacji partnerskiej, który dotyczy wiadomości wysyłanych do organizacji i weryfikuje je na podstawie oczekiwanych adresów IP lub zaufania opartego na certyfikatach.
Pomaga to zapewnić, że Exchange przyjmuje pocztę przychodzącą wyłącznie z legalnej infrastruktury bramy pocztowej.
2. Utwórz regułę przepływu poczty
Organizacje mogą utworzyć regułę przepływu poczty, która poddaje kwarantannie wiadomości, w przypadku których:
- nagłówek
X-MS-Exchange-Organization-AuthAsnie jest ustawiony naInternal - a adres IP nadawcy nie należy do tych, od których oczekuje się wysyłania poczty do Exchange Online, takich jak adres IP bramy pocztowej organizacji
Pomaga to zapobiegać wstrzykiwaniu sfałszowanej poczty do Exchange Online z niezaufanych źródeł.
Administratorzy powinni dokładnie przetestować reguły przed szerokim wdrożeniem, aby nie zakłócić legalnego przepływu poczty.
Wyłącz Direct Send tam, gdzie to możliwe
InfoGuard zaleca również wyłączenie lub ograniczenie funkcji Direct Send tam, gdzie jest to uzasadnione.
Direct Send może w pewnych konfiguracjach pozwalać urządzeniom i aplikacjom na wysyłanie poczty bezpośrednio przez Microsoft 365 bez uwierzytelniania. Choć jest przydatny w przypadku drukarek, skanerów i aplikacji, może też stwarzać ryzyko podszywania się pod nadawcę, jeśli nie jest kontrolowany.
Wyłączenie Direct Send lub ścisłe ograniczenie jego użycia może zmniejszyć ekspozycję na podszywanie się pod nadawców wewnętrznych.
Organizacje powinny sporządzić inwentarz systemów, które naprawdę potrzebują Direct Send, i zastąpić go, gdzie to możliwe, uwierzytelnionym przekaźnikiem SMTP lub wysyłką dedykowaną dla konkretnej aplikacji.
Trudności w wykrywaniu
InfoGuard zauważa, że niezawodne wykrywanie może być trudne, ponieważ dzierżawy Exchange, licencje, bramy pocztowe i konfiguracje hybrydowe bardzo się od siebie różnią.
Obrońcy mogą jednak nadal sprawdzać nagłówki przychodzących wiadomości pod kątem niespójności.
Potencjalne oznaki to:
- nagłówki received, które nie odpowiadają oczekiwanym ścieżkom bramy pocztowej
- wiadomości podające się za wewnętrzne, ale docierające z nieoczekiwanych zewnętrznych adresów IP
- brakujące lub podejrzane wartości
X-MS-Exchange-Organization-AuthAs - adresy nadawców odpowiadające użytkownikom wewnętrznym, ale niepodążające typowymi ścieżkami routingu
- nieoczekiwane wiadomości od członków zarządu lub ze skrzynek współdzielonych
- sfałszowane wiadomości wewnętrzne bez odpowiadającej im aktywności w skrzynce pocztowej
- wiadomości pochodzące z zewnątrz, wyświetlane jako zaufana komunikacja wewnętrzna
Analiza nagłówków jest ważna, ale wymaga znajomości normalnego przepływu poczty.
Aby przekonująco sfałszować niektóre nagłówki, atakujący musiałby znać wewnętrzne nazwy hostów, adresy IP i szczegóły ścieżki poczty, ale wiele organizacji może nadal być podatnych na prostsze próby.
Co administratorzy powinni sprawdzić już teraz
Administratorzy Exchange i Microsoft 365 powinni przejrzeć architekturę przepływu poczty.
Zalecane działania obejmują:
- ustalenie, czy domena używa Microsoft 365 bezpośrednio jako MX, czy bramy innego dostawcy
- przegląd konektorów Exchange pod kątem walidacji poczty przychodzącej
- potwierdzenie, że Exchange Online przyjmuje pocztę wyłącznie z zaufanych adresów IP lub certyfikatów bramy
- sprawdzenie, czy podszywanie się pod nadawcę wewnętrznego jest możliwe
- przegląd ekspozycji na Direct Send
- utworzenie lub weryfikację reguł przepływu poczty dla podejrzanych ścieżek przychodzących
- analizę nagłówków received z wiadomości testowych
- przegląd konfiguracji rozszerzonego filtrowania
- potwierdzenie sposobu przekazywania wiadomości przez bezpieczną bramę poczty e-mail
- udokumentowanie oczekiwanych ścieżek poczty przychodzącej
- monitorowanie wzorców sfałszowanych nadawców wewnętrznych
Organizacje korzystające z hybrydowego Exchange lub filtrów antyspamowych innych dostawców powinny potraktować ten przegląd priorytetowo.
Dlaczego architektura przepływu poczty ma znaczenie
Wiele organizacji inwestuje duże środki w mechanizmy ochrony przed phishingiem, wymuszanie DMARC, bezpieczne bramy poczty e-mail i szkolenia użytkowników.
Błędy konfiguracji przepływu poczty mogą jednak podważyć te zabezpieczenia.
Jeśli Exchange ufa poczcie z niewłaściwej ścieżki, atakujący mogą obejść oczekiwaną walidację nadawcy i dostarczać wiadomości wyglądające na wewnętrzne.
Dlatego bezpieczeństwo poczty e-mail trzeba traktować jako problem architektury od początku do końca.
Łańcuch obejmuje:
- rekordy MX w DNS
- konfigurację bezpiecznej bramy poczty e-mail
- konektory Exchange
- SPF, DKIM i DMARC
- sposób przekazywania wiadomości
- zachowywanie nagłówków
- reguły przepływu poczty
- mechanizmy kontroli Direct Send
- ostrzeżenia widoczne dla użytkowników
- monitorowanie i logowanie
Słabość w jednej warstwie może osłabić cały model.
Podsumowanie
Ghost-Sender przypomina, że uwierzytelnianie poczty e-mail jest tak silne, jak architektura przepływu poczty, która za nim stoi.
Organizacje korzystające z Exchange Online lub hybrydowego Exchange z bramą MX innego dostawcy mogą być podatne na sfałszowane wiadomości, które wyglądają, jakby pochodziły od nadawców wewnętrznych lub zaufanych.
To ryzyko nie jest teoretyczne. Sfałszowana poczta wewnętrzna może wspierać business email compromise, oszustwa fakturowe, phishing wyłudzający dane uwierzytelniające i podszywanie się pod kadrę zarządzającą.
Administratorzy powinni przejrzeć konektory, zweryfikować źródła poczty przychodzącej, ograniczyć Direct Send, tam gdzie to właściwe utworzyć reguły przepływu poczty oraz sprawdzić, czy w ich środowisku możliwe jest podszywanie się pod nadawców wewnętrznych.
W bezpieczeństwie poczty e-mail zaufanie nigdy nie powinno być domniemane. Każda ścieżka do skrzynki pocztowej musi być zweryfikowana.
