OCIAC waarschuwt voor gebruik e-mailfilters door cybercriminelen
De Amerikaanse overheidsinstantie OCIAC heeft een waarschuwing afgegeven voor het gebruik van e-mailfilters door cybercriminelen om berichten te monitoren en onderscheppen (pdf). Veel e-maildiensten staan gebruikers toe om filters aan te maken. Zo kunnen berichten naar andere e-mailadressen worden doorgestuurd of naar bepaalde mappen worden verplaatst. Iets waar ook cybercriminelen gebruik van maken zodra ze toegang tot een e-mailaccount hebben verkregen.
Via e-mailfilters kunnen aanvallers nog steeds e-mailberichten van het slachtoffer monitoren, ook al heeft het slachtoffer zijn eerdere wachtwoord gewijzigd of is de malware waarmee toegang tot het account werd verkregen verwijderd. Ook geeft het aanvallers de mogelijkheid om e-mailcommunicatie te monitoren zonder continu op het account in te loggen. Bepaalde e-maildiensten laten zien vanaf welke ip-adressen er op het account is ingelogd. Onbekende ip-adressen zouden een slachtoffer kunnen waarschuwen dat er iets mis is. Daarnaast kunnen cybercriminelen e-mailfilters gebruiken om bepaalde e-mails die het slachtoffer waarschuwen dat zijn account is gehackt onderscheppen en bijvoorbeeld direct in de prullenbak plaatsen of verwijderen.
In de waarschuwing, die eerder dit jaar werd gegeven en waar Public Intelligence over bericht, geeft het OCIAC verschillende voorbeelden van aanvallen waarbij aanvallers daadwerkelijk e-mailfilters gebruikten nadat ze toegang tot een account hadden verkregen. De overheidsinstantie adviseert dan ook om het controleren van e-mailfilters onderdeel van een 'cyber incident response proces' te maken. Op organisatorisch niveau kan er bijvoorbeeld worden gemonitord op het aanmaken van nieuwe e-mailfilters of het blokkeren van het doorsturen van e-mails naar adressen buiten het netwerk.
Wel een duidelijk nadeel van E-mail accounts met webbased toegang. Providers zouden hier iets tegen kunnen doen door 2FA te vereisen om instellingen te kunnen wijzigen (ik ken niemand die het pretig vindt om, elke keer dat een webbrowser of dedicated client checkt of er "new mail" is, handmatig 2FA data te moeten verstrekken).
Toch heet die functionaliteit bij een groot deel van de mail cliënts "filter". In het screenshot hierboven zie je dat bij GMail en Yahoo. Maar ook Ziggo webmail, RoundCube, en Thunderbird noemen dit filterregels. Het wordt hier alleen voor doorsturen gebruikt, maar de regels kunnen doorgaans veel meer doen.
Ik vraag me alleen af of dit de kans op ontdekking verkleint t.o.v. ophalen via b.v. IMAP, omdat het opvalt als je daar eens een regel wilt aanpassen of toevoegen. Anderzijds kijk ik maar een paar keer per jaar naar mijn fiterregels.
@Briolet: als je naast met IMAP ook met webmail bij jouw e-mail account kunt (dat is bij de meeste ISP's het geval) dan kan de aanvaller via webmail bijv. "forward automatic copies to" instellen en dan merk jij daar mogelijk helemaal niks van.
Daar heb je niets aan als dit via filters van een mail client op je PC gebeurd. Die filters kun je nml. instellen zonder dat je op je mail ingelogd bent. Bij webmail is het ook onzinnig. Als je daar voor het inloggen al 2FA had gebruikt, dan waren ze niet in je account gekomen om daar de regels aan te passen.
Dat had ik me al gerealiseerd. Ik heb een flink aantal mail accounts die allen ook webtoegang bieden. Ik log daar hooguit een paar maal per jaar web-based in. Sommige account zelfs nog minder en filters nalopen is dan het laatste wat ik doe.
Als ik een webbased account zou willen volgen die het inlog IP en/of de laatste inlog tijd steeds toont, dan zou ik op IMAP overschakelen. De laatste IMAP toegang zie je waarschijnlijk niet op het inlogscherm. Op je eigen PC moet je dan volledig afblijven van dat account en alle inkomende berichten via filterregels naar een eigen account verplaatsen. Dit om te voorkomen dat je het bericht weer kwijt bent als de echte ontvanger ze wist.
Dit klinkt omslachtig, maar als je een high-profile target hebt, zoals bij ceo fraude, loont zich die moeite.
En gevoelsmatig denk ik dat aanvallers de voorkeur voor webbased aanvallen zullen hebben, maar wellicht heb ik dat fout.
Aan de andere kant, als een organisatie-eigen Exchange server uitsluitend Outlook-protocol toegang biedt tot interne Outlook clients, zal een aanvaller toegang moeten hebben tot het interne netwerk om identity-spoofing aanvallen uit te kunnen voeren. Als diezelfde Exchange server vervolgens ook OWA aanbiedt voor de rest van de wereld, is die laatste toegangsmogelijkheid zeer waarschijnlijk de meest gebruikte aanvalsvector.
De kans dat organisaties gebruikers toestaan om brakke wachtwoorden te gebruiken voor een internet Exchange server is tot daar aan toe, maar zodra de baas OWA toegang wil vanaf z'n vakantieadres en dat voor iedereen met diezelfde, ongewijzigde, brakke wachtwoorden wordt opengezet, is het een kwestie van wachten tot, via OWA, accounts worden "overgenomen".
Wel een duidelijk nadeel van E-mail accounts met webbased toegang. Providers zouden hier iets tegen kunnen doen door 2FA te vereisen om instellingen te kunnen wijzigen (ik ken niemand die het pretig vindt om, elke keer dat een webbrowser of dedicated client checkt of er "new mail" is, handmatig 2FA data te moeten verstrekken).
Klopt, en daarom doen ze het niet: het hindert de klanten.
Het is overigens wel erg raar 2-factor authentication te eisen als je al bent ingelogd. Maak van het middel geen doel.
Banken eisen bij internetbankieren ook weer een extra authenticatie voor gevoelige actie, zoals betalen. (In elk geval de twee die ik ken) Dit om het meekijkende mallware iets moeilijker te maken.
Eigenlijk net zoiets als IMAP.... Of Internet Message Access Protocol.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.