Inboxfuscation: обфускация Unicode в правилах Microsoft Exchange

Правила почтовых ящиков Microsoft Exchange превратились в серьёзный вектор атак для продвинутых злоумышленников. Недавно описанный метод, получивший название Inboxfuscation, использует механизмы обфускации на основе Unicode, чтобы создавать вредоносные правила, которые традиционные системы мониторинга безопасности часто не замечают.

В чем суть угрозы

Ранее вредоносные правила было относительно просто обнаружить: злоумышленники использовали очевидные ключевые слова и простые действия — удаление писем или пересылку на почтовый ящик под их контролем. Inboxfuscation ломает эту модель за счёт применения нестандартных текстовых приёмов и управляющих символов, что делает правила внешне безвредными и затрудняет их обнаружение.

Примерно так: злоумышленники могут организовать «пересылку электронных писем непосредственно в папку календаря», что делает такие письма невидимыми для пользователя, поскольку Outlook не отображает их привычным способом.

Ключевые техники обфускации

• right-to-left override — двунаправленные текстовые элементы управления, которые меняют отображение текста и позволяют скрыть суть правил;
• вставка нулевых символов u0000, которые нарушают работу службы правил входящих сообщений и делают правила недоступными для просмотра и восстановления;
• использование обычного пробела в качестве условия, из‑за чего правило применится ко всем письмам (каждое письмо содержит по крайней мере один пробел);
• манипуляция условием по размеру сообщения: выбор минимального размера менее 1024 байт, который серверная часть нормализует до 0 байт, что приводит к повсеместному срабатыванию правила;
• пересылка писем в нетипичные папки (например, в папку календаря), из‑за чего жертва не видит следов компрометации в привычном почтовом интерфейсе.

Почему это опасно

Такие приёмы позволяют злоумышленникам:

• закрепиться в почтовом ящике без явных признаков;
• маскировать эксфильтрацию и перехват корреспонденции;
• обходить стандартные правила обнаружения среди автоматизированных систем мониторинга.

Обнаружение и реагирование

Для противодействия этому типу атак важно уделять внимание именно правилам почтовых ящиков и их структуре. Платформа Inboxfuscation framework предоставляет метод аудита правил работы с почтовыми ящиками в нескольких форматах журналов Exchange, что позволяет специалистам по безопасности:

• проводить комплексную проверку почтовых ящиков на наличие обфускации с использованием Unicode (включая проверки на right-to-left override и u0000);
• выполнять исторический анализ журналов аудита для выявления прошлых признаков компрометации;
• идентифицировать правила, пересылающие письма в нетипичные папки (например, календарь), или правила с хитрыми условиями (пробел, нормализованный размер и т.д.).

Практические рекомендации для администраторов и команд безопасности

• Включите и храните расширенные журналы аудита правил Exchange, чтобы иметь возможность проводить ретроспективный анализ.
• Автоматизируйте проверку правил на наличие управляющих символов Unicode и необычных условий (пробелы, нулевые символы, нестандартные папки-получатели).
• Регулярно проводите аудит прав на создание и изменение правил почтовых ящиков и ограничьте такие действия только доверенным администраторам.
• При обнаружении подозрительных правил — выводите их в безопасное состояние, сохраняйте журналы и выполняйте расследование инцидента.
• Используйте специализированные инструменты, такие как Inboxfuscation framework, для систематического поиска и устранения подобных угроз.

Заключение

Inboxfuscation демонстрирует, насколько творчески и изощренно злоумышленники могут использовать встроенные механизмы почтовых систем. Атаки на правила почтовых ящиков — это не гипотетическая угроза, а реальная и текущая проблема, требующая от команд безопасности внимания к деталям, грамотной настройки аудита и автоматизации обнаружения obfuscated правил.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.