Microsoft-Lücke ermöglicht E-Mail-Versand ohne Authentifizierung – Source: www.csoonline.com

FabrikaSimf – shutterstock.com

Das Forensik-Team von Varonis hat eine Schwachstelle entdeckt, die es internen Geräten wie Druckern ermöglicht, E-Mails ohne Authentifizierung zu versenden. Dem Bericht zufolgewurde die Lücke bereits genutzt, um mehr als 70 Unternehmen, vorwiegend in den USA, anzugreifen. Dabei haben sich die Angreifer als interne Benutzer ausgegeben und Phishing-E-Mails versendet, ohne dass sie dafür Konten kompromittieren mussten.

Die Angriffskampagne war erfolgreich, da E-Mails, die aus Microsoft 365 (M365) versendet werden, weniger streng geprüft werden als normale eingehende E-Mails.

„Diese Entdeckung ist ein klassischer Fall von Funktionalität versus Sicherheit“, kommentiert Ensar Seker, CISO bei SOCRadar. „Die Direct-Send-Funktion von Microsoft 365 wurde aus Gründen der Benutzerfreundlichkeit entwickelt, damit Geräte wie Drucker oder Scanner E-Mails ohne Authentifizierung versenden können. Genau dieses Design öffnet jedoch Tür und Tor für Missbrauch, wenn es falsch konfiguriert oder missverstanden wird“, fügt der Experte hinzu.

Spoofing „bemerkenswert einfach“

M365 Direct Send ist nur für den internen Gebrauch bestimmt, aber für Hacker leicht zugänglich, da keine Authentifizierung erforderlich ist. Angreifer benötigen keine Anmeldedaten, Tokens oder sogar Zugriff auf den Mandanten; sie benötigen lediglich ein paar öffentlich zugängliche Details und ein wenig Talent zum Raten.

Dies liegt daran, dass Direct Send einen Smart Host mit einem gängigen Format verwendet: tenantname.mail.protection.outlook.com. Die internen E-Mail-Adressformate von Unternehmen lassen sich oft leicht herausfinden oder aus öffentlichen Quellen oder sozialen Medien extrahieren. Sobald ein Angreifer über die Domain und eine gültige E-Mail-Adresse verfügt, kann er E-Mails versenden, die scheinbar aus dem Unternehmen stammen.

In der von Varonis beobachteten Kampagne verwendete der Angreifer PowerShell, um E-Mails zu versenden, die wie Voicemail-Benachrichtigungen aussahen und einen PDF-Anhang mit einem QR-Code enthielten. Beim Anklicken wird das Opfer auf eine Website weitergeleitet, die M365-Anmeldedaten abfragt.

Den Forschern zufolge funktionieren die Angriffe, da:

• keine Anmeldungen oder Anmeldedaten erforderlich sind,
• der Smart Host E-Mails von jeder externen Quelle akzeptiert,
• als Absendereine beliebige interne Benutzeradresse genutzt werden kann, und
• die einzige Voraussetzung ist, dass der Empfänger innerhalb der Kundenorganisation ist.

Da die E-Mail über die Microsoft-Infrastruktur geleitet wird und scheinbar aus dem Unternehmen stammt, umgeht sie außerdem herkömmliche Sicherheitskontrollen. Darunter fallen auch die Filtermechanismen von Microsoft, die sie als interne E-Mail behandeln, sowie Tools von Drittanbietern, die verdächtige Nachrichten anhand der Authentifizierung, der Routing-Muster oder der Reputation des Absenders kennzeichnen.

„Die Herausforderung besteht darin, dass viele Unternehmen entweder die Standardeinstellungen unverändert lassen, oder die Absenderberechtigungen nicht einschränken. Dadurch wird das Spoofing aus vermeintlich internen Quellen bemerkenswert einfach“, erklärt der SOCRadar-CISO Seker.

David Shipley von Beauceron Security merkt an, dass die Lücke „nicht wirklich“ zur Microsoft Secure Futures Initiative passt, der Kampagne des Unternehmens zur kontinuierlichen Sicherung seiner eigenen Sicherheit und der seiner Kunden. „Diese Art von Cleverness ist das direkte Ergebnis des Katz-und-Maus-Spiels im Bereich E-Mail-Sicherheit“.

Da immer mehr Unternehmen Sicherheitsfunktionen wie Sender Policy Framework (SPF), Domain-based Message Authentication, Reporting and Conformance (DMARC) und DomainKeys Identified Mail (DKIM) einsetzen und in E-Mail-Filter investieren, wird reguläres Spoofing immer schwieriger.

Für Kriminelle seien sie im Grunde genommen ein leichtes Spiel, ergänzt Shipley und betont:„Jeder, der [Direct Send] verwendet, sollte dies angesichts dieses Berichts schnellstmöglich überprüfen“.

Worauf Sie achten sollten

Um festzustellen, ob ein Missbrauch vorliegt, empfehlen die Varonis-Forscher, die Kopfzeilen von Nachrichten und auf auffälliges Verhalten zu achten. Zu den Indikatoren in den Kopfzeilen von Nachrichten gehören externe IP-Adressen, die an den Smart Host gesendet werden, oder Fehler in SPF, DKIM oder DMARC für interne Domänen. Außerdem sollte die „X-MS-Exchange-CrossTenant-Id“ mit der Mandanten-ID der Organisation übereinstimmen.

Zu den Verhaltensindikatoren können E-Mails gehören, die von Benutzern an sich selbst gesendet wurden, ungewöhnliche IP-Adressen, verdächtige Anhänge oder Dateinamen sowie PowerShell oder andere Befehlszeilen-User-Agents.

Nach eigenen Angaben arbeitet Microsoft daran, Direct Send standardmäßig zu deaktivieren, und dass Kunden eine statische IP-Adresse im SPF-Eintrag erzwingen können. Auf diese Weise soll Missbrauch beim Senden verhindert werden.

Um hier proaktiv zu handeln, empfehlen die Forscher von Varonis IT-Verantwortlichen:

• Implementieren Sie strenge DMARC- und Anti-Spoofing-Richtlinien.
• Markieren Sie nicht authentifizierte interne E-Mails zur Überprüfung.
• Erzwingen Sie „SPF Hardfail“ in Exchange Online Protection (EOP).
• Aktivieren Sie „Direct Send ablehnen“ im Exchange Admin Center.
• Informieren Sie Benutzer über die Risiken von Quishing-Angriffen (QR-Code).

Mit dem Netzwerk verbundene Geräte als „vollwertige Endpunkte“ behandeln

Für eine sichere Konfiguration von Direct Send gehört lauf Seker außerdem: Die für die Nutzung zugelassenen IP-Bereichemüssen eingegrenzt, strenge SMTP-Relay-Einschränkungen implementiert und Anomalien wie Geräte, die an Verteilerlisten oder externe Domänen senden, überwacht werden. Es sei auch wichtig, diese Techniken mit einer starken Durchsetzung von SPF, DKIM und DMARC zu kombinieren, was viele Unternehmen übersähen.

Spam- und Phishing-Kampagnen über Scanner und Drucker werden immer häufiger, weil „sie sich gut tarnen“, so der SOCRadar-Experte. „Mitarbeiter sind daran gewöhnt, Benachrichtigungen über gescannte Dokumente zu sehen, und hinterfragen deren Echtheit selten.“ Um dem entgegenzuwirken, sollten Unternehmen mit dem Netzwerk verbundene Geräte als „vollwertige Endpunkte“ behandeln und sie mit Segmentierung, Protokollierung und Verhaltensrichtlinien ausstatten, um Missbrauch zu erkennen.

Laut Seker ist es ein Problem der Transparenz. „Wenn Sie nicht wissen, wozu Ihre Geräte in der Lage sind oder was sie tun dürfen, können Sie sich nicht dagegen verteidigen. Der Missbrauch von Direct Send ist nur eine weitere Erinnerung daran, dass Angreifer keine Zero-Day-Exploits benötigen, wenn überall Fehlkonfigurationen vorhanden sind.“

Roger Grimes, Data-Driven Defense Evangelist bei KnowBe4, weist jedoch darauf hin, dass solche Kampagnen trotz zunehmender Häufigkeit nicht weit verbreitet sind. Das liege vor allem daran, dass die bereits von Hackern und Betrügern eingesetzten Taktiken recht gut funktionieren. „Es gibt keinen Grund, etwas Neues oder Schwierigeres zu versuchen, wenn die aktuellen Methoden den Betrügern schon reich machen“, so Grimes. (jm)