Missbrauch bei „Direct Send“

Übersicht

Das Mimecast-Team für Bedrohungsforschung beobachtet weiterhin bösartige E-Mail-Kampagnen, die die „Direct Send“-Funktion von Microsoft 365 ausnutzen. Über diesen Angriffsvektor können Angreifer E-Mails versenden, die den Anschein erwecken, von internen Benutzern zu stammen, ohne dass eine Authentifizierung erforderlich ist oder ein Konto kompromittiert werden muss. Diese Technik hat an Bedeutung gewonnen, da sie Perimeter-Sicherheitslösungen effektiv umgeht und sich das Vertrauen zunutze macht, das Nutzer der internen Kommunikation entgegenbringen. Diese neu auftretende Bedrohung stellt eine kritische Lücke in den E-Mail-Sicherheitsmaßnahmen von Unternehmen dar, die Microsoft 365 nutzen.

Angriffsmethodik

„Direct Send“ ist eine offizielle Funktion von Microsoft 365, die es Geräten, Anwendungen und Diensten von Drittanbietern ermöglicht, E-Mails ohne Authentifizierung direkt an die Postfächer der Benutzer zu senden. Angreifer nutzen diese Funktion aus, indem sie eine Verbindung zum SMTP-Endpunkt von Microsoft 365 herstellen und E-Mails versenden, bei denen interne Absender vorgetäuscht werden. Der Angriffsablauf umfasst drei wesentliche Schritte:

1. Angreifer ermitteln durch Erkundungsmaßnahmen gültige Domänen von Organisationen und E-Mail-Adressen von Empfängern.
2. Die E-Mails sind so gestaltet, dass sie den Anschein erwecken, von vertrauenswürdigen internen Nutzern oder Abteilungen zu stammen, und ahmen häufig gängige geschäftliche Mitteilungen wie IT-Benachrichtigungen oder Ankündigungen der Personalabteilung nach.
3. Diese gefälschten E-Mails werden direkt über die Infrastruktur von Microsoft 365 zugestellt, wo sie als intern weitergeleitete Nachrichten erscheinen.

Im Gegensatz zum herkömmlichen E-Mail-Spoofing sind für den Missbrauch von „Direct Send“ keine Authentifizierungsdaten, kein Benutzername, kein Passwort und kein Token erforderlich. Angreifer benötigen lediglich Kenntnis der Domain der Zielorganisation sowie gültige Empfängeradressen. Diese Technik ist besonders effektiv, da die E-Mails die vertrauenswürdige Infrastruktur von Microsoft 365 durchlaufen und dadurch sowohl für Sicherheitssysteme als auch für Endnutzer als legitim erscheinen. Da keine Authentifizierungsanforderungen bestehen, können Angreifer sich als beliebiger interner Benutzer ausgeben, ohne legitime Konten kompromittieren zu müssen.

Informationen zur Kampagne

Unternehmen sind über diesen Angriffsvektor einem erheblichen Risiko durch den Diebstahl von Zugangsdaten, business email compromise und malware delivery ausgesetzt. Das implizite Vertrauen, das mit der internen Kommunikation einhergeht, erhöht die Wahrscheinlichkeit, dass Nutzer erfolgreich mit bösartigen Inhalten interagieren.