Microsoft Xəbərdarlığı: Yanlış Konfiqurasiya Edilmiş Email Routing Daxili Domain Phishing Hücumlarına Yol Açır

Microsoft Xəbərdarlığı: Yanlış Konfiqurasiya Edilmiş Email Routing Daxili Domain Phishing Hücumlarına Yol Açır

Giriş (Hadisənin mahiyyəti)

Kiber təhlükəsizlik dünyasında müdafiə mexanizmlərinin effektivliyi çox vaxt onların ən zəif həlqəsi ilə müəyyən edilir. Microsoft Təhlükə Kəşfiyyatı Qrupunun (Microsoft Threat Intelligence Team) son xəbərdarlığı korporativ email sistemlərində ciddi bir konfiqurasiya riskini aşkarlayır: düzgün qurulmamış email routing (yönləndirmə) qaydaları threat actor’lara təşkilatın daxili domenini uğurla təqlid etməyə və yüksək etibarlı Phishing mesajları çatdırmağa imkan verir.

Bu hücum vektoru xüsusilə təhlükəlidir, çünki zərərli emaillər xarici təhlükəsizlik şlüzlərini (gateway) aşaraq, məhz daxili sistemdən göndərilmiş kimi görünür. Bu cür texnikalardan istifadə edən threat actor’lar Tycoon 2FA kimi Phishing-as-a-Service (PhaaS) platformaları vasitəsilə geniş çeşidli Phishing mesajları, o cümlədən çoxfaktorlu autentifikasiyanı (MFA) keçməyə yönəlmiş zərərli proqram təminatları yayırlar. Hadisənin mahiyyəti ondan ibarətdir ki, sistem xarici mənbədən gələn bir emaili, daxili etibarlı marşrutlaşdırma zəncirindəki boşluğa görə daxili email kimi qəbul edir.

Texniki Detallar (Hücum necə baş verir?)

Hücumun kökündə email mübadiləsi zamanı tətbiq edilən autentifikasiya və marşrutlaşdırma (routing) qaydalarının qarışıqlığı dayanır. Ənənəvi olaraq, kənar bir ünvandan gələn email ciddi SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) və DMARC (Domain-based Message Authentication, Reporting, and Conformance) yoxlamalarından keçməlidir. Bu protokollar spoofing hücumlarının qarşısını almaq üçün nəzərdə tutulmuşdur.

Lakin, mürəkkəb korporativ mühitlərdə – xüsusilə Hybrid Exchange Server qurğularında, üçüncü tərəf relay xidmətlərindən istifadə edildikdə, və ya bulud əsaslı (Cloud-based) email sistemlərinə keçid zamanı – yanlış konfiqurasiya edilmə riski yaranır. Threat actor bu zəifliyi aşkarlayaraq, emaili təşkilatın daxili mail flow’una yönləndirən xüsusi bir connector və ya transport rule zəncirini hədəf alır. Nəticədə, sistem, xüsusi ilə M365 (Microsoft 365) kimi platformalarda, daxili qəbul edilmiş bu emaillər üçün normalda tətbiq olunan SCL (Spam Confidence Level) yoxlamasını və xarici SPF/DKIM yoxlamalarını ya tamamilə ötürür, ya da yumşaq tətbiq edir.

Texniki baxımdan, zərərvericilər emailin zərərli olduğunu müəyyən edən X-MS-Exchange-Organization-AuthAs: Internal və ya oxşar daxili marşrutlaşdırma başlıqlarını bypass etməyə nail olurlar. Bu, hədəf alınmış istifadəçinin qutusuna çatan mesajın From: sahəsinin tamamilə etibarlı daxili domen adını daşıması ilə nəticələnir. Bu cür daxili görünən Phishing emailləri, istifadəçiləri şifrə sıfırlama (password reset) səhifələrinə və ya MFA kodlarını tələb edən Tycoon 2FA tərəfindən idarə olunan saxta giriş səhifələrinə yönləndirir.

Təhlükənin Miqyası (Kimlər risk altındadır?)

Bu təhlükə ən çox mürəkkəb email infrastrukturuna malik böyük və orta təşkilatları hədəf alır. Xüsusilə aşağıdakı ssenarilərdə risk artır:

• Hibrid Mühitlər: On-premise Exchange serverlərinin bulud (M365) xidmətləri ilə birlikdə istifadə edildiyi mühitlər. Bu konfiqurasiyalarda email flow’unu təmin etmək üçün xüsusi connector’lar istifadə olunur və bu connector’larda autentifikasiya boşluqları yarana bilər.
• Sertifikatlaşdırılmış Üçüncü Tərəf Xidmətləri: Məlumatların arxivləşdirilməsi, Spam süzgəcindən keçirilməsi və ya CRM sistemlərindən email göndərilməsi üçün istifadə olunan kənar xidmətlər. Əgər bu xidmətlər üçün yaradılmış transport rule’lar həddindən artıq güzəştlidirsə, təhlükə yaranır.
• Zəif DMARC Tətbiqi: DMARC policy’si p=none (yalnız monitorinq) rejimində olan və ya ümumiyyətlə tətbiq olunmayan təşkilatlar. Ciddi DMARC tətbiqi olsa belə, əgər daxili routing bu yoxlamaları bypass edirsə, risk qalır.

Nəticədə, bu hücumlar yalnız credential oğurluğuna deyil, həm də daxili şəbəkəyə ilk giriş nöqtəsinin (Initial Access) yaradılmasına gətirib çıxarır ki, bu da sonradan Ransomware hücumları və ya məlumat sızması (data exfiltration) ilə nəticələnə bilər.

Müdafiə və Həll Yolları (İstifadəçilər nə etməlidir?)

Bu spesifik Phishing vektoruna qarşı mübarizə bir sıra texniki və inzibati addımları tələb edir:

1. Email Autentifikasiyasının Sərtləşdirilməsi

İdarəçilər daxili domen üçün DMARC siyasətini kritik şəkildə nəzərdən keçirməlidirlər. Mümkün olduqca, p=quarantine və ya ən yaxşısı p=reject siyasətinə keçilməlidir. Həmçinin, bütün daxili mail flow connector’larının autentifikasiya tələbləri ən yüksək səviyyədə olmalıdır.

2. Mail Flow Qaydalarının Auditi

Bütün transport rule’lar və connector’lar hərtərəfli audit edilməlidir. Xüsusilə diqqət edilməli məqamlar:

• Connector Filterləri: Daxili mənbəyə icazə verən connector’ların IP ünvanları və ya sertifikatları ciddi şəkildə məhdudlaşdırılmalıdır.
• Authentication Bypass: ‘Skip internal checks’ və ya ‘Bypass Spam Filtering’ kimi imkan verən qaydalar ləğv edilməli və ya kəskin şəkildə məhdudlaşdırılmalıdır. Hətta daxili trafik üçün də anti-spoofing siyasətləri (məsələn, M365-də ‘Internal spoof intelligence’) aktivləşdirilməlidir.

3. İstifadəçi Təhsili

Ən inkişaf etmiş texniki müdafiə belə son istifadəçi səhvinə qarşı həmişə 100% effektiv deyil. İstifadəçilər daxili adlardan gələn lakin qeyri-adi sorğular ehtiva edən Phishing cəhdlərini tanımağa öyrədilməlidir. Xüsusilə MFA-nı aşmağa yönəlmiş mürəkkəb Phishing üsullarına qarşı ayıq olmaq vacibdir.

4. SPF/DKIM Konfiqurasiyasının Dəqiqləşdirilməsi

Bütün rəsmi göndərici domenləri üçün SPF qeydlərində (record) yalnız həqiqi göndərici serverlərinin (məsələn, M365/Exchange Online və ya rəsmi kənar xidmətlər) daxil edildiyinə əmin olun. DKIM imzalarının düzgün tətbiqi həmçinin saxta emaillərin etibarlı görünmə riskini azaldır. Bu cür kompleks bir Vulnerability əsasında qurulan hücumların qarşısını almaq üçün konfiqurasiya yoxlamaları müntəzəm olaraq təkrarlanmalıdır.