T1114.003: 电子邮件转发规则

摘要

攻击者可能设置电子邮件转发规则来收集敏感信息。攻击者可能滥用电子邮件转发规则来监控受害者的活动、窃取信息，并进一步获取关于受害者或其组织的情报，以用作进一步攻击或操作的一部分。(Citation: US-CERT TA18-068A 2018)此外，电子邮件转发规则可以让攻击者在管理员重置已沦陷凭证后仍维持对受害者电子邮件的持久访问。(Citation: Pfammatter - Hidden Inbox Rules)大多数电子邮件客户端允许用户为各种电子邮件功能创建收件箱规则，包括转发到不同的收件人。这些规则可以通过本地电子邮件应用程序、Web 界面或命令行界面创建。消息可以转发到内部或外部收件人，并且没有限制此规则范围的约束。管理员也可能出于相同的考量和结果，为用户账户创建转发规则。(Citation: Microsoft Tim McMichael Exchange Mail Forwarding 2)(Citation: Mac Forwarding Rules) 组织内的任何用户或管理员(或拥有有效凭证的攻击者)都可以创建规则，以自动将所有收到的消息转发到另一个收件人、根据发件人将电子邮件转发到不同位置等。攻击者还可能通过使用 Microsoft 消息处理 API(MAPI)修改规则属性来隐藏该规则，使其隐藏且从 Outlook、OWA 或大多数 Exchange 管理工具中不可见。(Citation: Pfammatter - Hidden Inbox Rules) 在某些环境中，管理员可能能够启用在整个组织范围内而非单个收件箱上运行的电子邮件转发规则。例如，Microsoft Exchange 支持传输规则，这些规则根据用户指定的条件评估组织收到的所有邮件，然后对符合这些条件的邮件执行用户指定的操作。(Citation: Microsoft Mail Flow Rules 2023)滥用此类功能的攻击者可能能够对组织收到的所有或特定邮件启用转发。