I en ny undersøgelse viser forskere fra Barracuda Networks, hvordan angribere kan misbruge indbakkeregler, når de først har fået adgang til en e-mailkonto, og dermed undgå at blive opdaget, mens de stjæler oplysninger fra en virksomheds netværk. Denne type angreb er afhængig af, at ofrene ikke ser sikkerhedsadvarsler – og at angriberen arkiverer udvalgte beskeder i diskrete mapper, som offeret ikke bemærker.

Misbrug af reglerne for e-mail-indbakken er en smart og effektiv taktik, der sker i det skjulte.

Den är lätt att genomföra när en angripare väl har skaffat sig tillgång till ett konto, säger Prebh Dev Singh, ansvarig för Email Protection Product Management på Barracuda.

Selvom værktøjer til e-maildetektering har udviklet sig, og maskinlæring har gjort det lettere at få øje på mistænkelige regler, viser Barracudas undersøgelse, at cyberkriminelle fortsætter med at angribe virksomheder på denne måde. Manipulerede regler kan derfor være en alvorlig trussel mod deres data og andre aktiver.

Reklame

Eftersom det är en teknik som används efter att ett konto tagits över är det ett säkert tecken på du har en angripare i ditt nätverk. Det innebär att det krävs omedelbara åtgärder för att få ut dem, säger Peter Graymon, ansvarig för Barracuda Networks i de nordiske lande.

När en angripare väl har kommit åt ett e-postkonto, till exempel genom nätfiske eller genom att använda stulna inloggningsuppgifter, kan de ställa in en eller flera automatiska e-postregler som gör att de fortsätter ha åtkomst till brevlådan utan att det upptäcks. Det kan användas för en mängd olika skadliga syften, inklusive:

• att stjäla information eller pengar och fördröja opdaget. Angriparna kan sätta en regel för att vidarebefordra alla e-postmeddelanden som innehåller känsliga och potentiellt lukrativa nyckelord som ”betalning”, ”faktura” eller ”konfidentiellt” till en extern adress.
  
• at skjule specifikke indgående e-mails, f.eks. sikkerhedsadvarsler, ved at flytte sådanne beskeder til sjældent brugte mapper, markere e-mails som læst eller blot slette dem.
  
• at overvåge angriberens aktiviteter og indsamle oplysninger om ham (eller virksomheden), der kan bruges som led i yderligere angreb.
  
• for såkaldt CEO-svindel (BEC), ställa in en regel som tar bort alla inkommande e-postmeddelanden från en viss kollega, till exempel ekonomichefen (CFO). Det gör att angriparna kan låtsas vara Finansdirektør och skicka falska e-postmeddelanden till kollegor för att övertyga dem om att överföra pengar till ett bankkonto som kontrolleras av angriparna.

Hvis den misbrugte regel ikke opdages, vil den fortsat være gældende, selvom offerets adgangskode ændres, eller hvis multifaktorgodkendelse er aktiveret, andre strenge politikker for betinget adgang implementeres, eller computeren genopbygges. Så længe reglen forbliver gældende, risikerer den at blive en effektiv værktøj for angriberen.

Læs mere her »