Règles automatiques des boîtes mail : des outils de choix pour les attaquants

Une nouvelle étude Threat Spotlight réalisée par les chercheurs de Barracuda montre comment les attaquants peuvent utiliser, à mauvais escient, les règles des boîtes mail piratées pour échapper aux détections tout en déplaçant discrètement des informations hors du réseau de l’entreprise. Les attaquants peuvent également s’assurer que les victimes ne voient pas les avertissements de sécurité en classant les messages sélectionnés dans des dossiers cachés difficile à trouver, et même usurper les identités des correspondants afin de manipuler leurs victimes.

« L’utilisation abusive des règles des boîtes mail est une tactique d’attaque efficace et discrète, très facile à mettre en œuvre une fois qu’un attaquant a compromis un compte », a déclaré Prebh Dev Singh, responsable de la gestion des produits de protection des courriels chez Barracuda. « Même si les outils de détection d’e-mails ont progressé au fil des ans et que l’utilisation de l’apprentissage automatique a permis de repérer plus facilement les créations de règles suspectes, nos chiffres de détection montrent que les attaquants continuent de mettre en œuvre cette technique avec succès. La création de règles malveillantes constitue une menace sérieuse pour l’intégrité des données et des actifs. Comme il s’agit d’une technique post-compromission, elle indique que les attaquants sont déjà dans votre réseau. Une action immédiate est nécessaire pour les expulser. »

Une fois que l’attaquant compromet le compte de messagerie d’une victime, par hameçonnage ou en utilisant des informations d’identification volées par exemple, il peut définir une ou plusieurs règles de messagerie automatisées pour maintenir un accès discret et permanent à la boîte mail, qu’il peut utiliser à toute une série d’objectifs malveillants comme :

• Voler des informations ou de l’argent en définissant une règle pour transférer vers une adresse externe tous les courriels contenant des mots clés sensibles et potentiellement lucratifs tels que « paiement », « facture » ou « confidentiel ».
• Masquer certains e-mails entrants, tels que des alertes de sécurité ou des communications de commande et de contrôle, en déplaçant ces messages vers des dossiers rarement utilisés, en marquant les e-mails comme lus ou en les supprimant simplement.
• Surveiller les activités d’une victime et recueillir des renseignements sur elle ou sur son entreprise afin de les utiliser dans le cadre d’autres exploits ou opérations.
• Pour les attaques de type « business e-mail compromise » (BEC), définir une règle qui supprime tous les courriels entrants provenant d’un certain collègue, par exemple le directeur financier (CFO), permettant aux attaquants de se faire passer pour le directeur financier et d’envoyer à leurs collègues de faux e-mails pour les convaincre de transférer des fonds de l’entreprise sur un compte bancaire contrôlé par les attaquants.

Si la règle malveillante n’est pas repérée, elle reste opérationnelle y compris en cas de changement de mot de passe, d’activation d’authentification multifactorielle, et même de mise en place d’autres politiques strictes d’accès conditionnel.

Voici quelques moyens de défenses efficaces contre les règles malveillantes de la boîte de réception des e-mails :

• Le meilleur moyen de se protéger est de mettre en place l’ensemble des mesures de sécurité visant à empêcher les attaquants de compromettre un compte (mot de passe robuste, double authentification, …).
• Pour les entreprises, des mesures efficaces de détection et de réponse aux incidents s’imposent afin d’identifier les comptes violés et d’en atténuer l’impact. Il s’agit notamment d’avoir une visibilité totale de toutes les actions effectuées dans les boîtes mail de chaque employé, des règles créées, de ce qui a été modifié ou consulté, de l’historique de connexion de l’utilisateur, de l’heure, du lieu et du contexte des e-mails envoyés, et plus.
• La protection basée sur l’intelligence artificielle utilise ces données pour créer un profil de compte intelligent pour chaque utilisateur, et toute anomalie, même subtile, est immédiatement signalée pour attirer l’attention.
• La protection contre l’usurpation d’identité utilise plusieurs signaux tels que les données de connexion, les données des courriels et les modèles statistiques, ainsi que des règles pour identifier une attaque de prise de contrôle de compte.

Vous trouverez plus d’information sur ce rapport en consultant le blog de Barracuda.