Posteingangsregeln eines Hackers in Microsoft 365 finden

Kurz gesagt. Die häufigste Spur eines BEC in Microsoft 365 ist eine Posteingangsregel, die der Benutzer nicht angelegt hat: Weiterleitung an eine externe Adresse, Löschen, Als-gelesen-markieren oder Verschieben nach RSS Feeds, Archive oder Conversation History, oft gefiltert auf „Rechnung“, „Zahlung“ oder „Bank“, oft mit dem Namen „.“. Suchen Sie im Unified Audit Log nach New-InboxRule, Set-InboxRule, Enable-InboxRule und UpdateInboxRules sowie nach Set-Mailbox mit ForwardingSmtpAddress. Prüfen Sie IP und Sitzung, aus denen jede Regel stammt. Den aktuellen Zustand liefert Get-InboxRule -Mailbox <Benutzer> -IncludeHidden.

Posteingangsregeln sind billig, leise und wirksam. Wer eine Lieferantenkorrespondenz kapert, braucht vor allem eines: Das Opfer darf die Rückfrage des Lieferanten („Haben Sie wirklich Ihre Bankverbindung geändert?“) nicht sehen. Dafür reicht eine Regel. Eine zweite schickt eine Kopie jeder Zahlungs-E-Mail an ein externes Postfach, damit der Angreifer auch nach dem Passwort-Reset mitliest. MITRE führt beides als Email Hiding Rules (T1564.008) und Email Forwarding Rule (T1114.003).

Wie bösartige Regeln aussehen

Microsofts Veröffentlichungen zu AiTM-Kampagnen, die in einen BEC münden, beschreiben Regeln, die E-Mails einer bestimmten Absenderdomäne in den Ordner Archive verschieben und als gelesen markieren, sowie Regeln, die alle eingehenden E-Mails nach Archive verschieben und als gelesen markieren (Juli 2022, Juni 2023). Microsofts Leitfaden zu kompromittierten Konten nennt Regeln, die an unbekannte Adressen weiterleiten, und Regeln, die Nachrichten nach Notes, Junk Email oder RSS Subscriptions verschieben (Microsoft Learn).

Kein einzelnes Merkmal beweist etwas. Manche Benutzer leiten tatsächlich an private Adressen weiter, manche benennen Regeln schlecht. Entscheidend ist die Kombination und vor allem die Sitzung, die die Regel erstellt hat.

Die Erstellung von Regeln im Unified Audit Log finden

Eine minimale PowerShell-Prüfung auf einem bereits in $all geladenen Export (siehe Export-Anleitung):

$all | Where-Object { $_.Operations -in 'New-InboxRule','Set-InboxRule','UpdateInboxRules','Set-Mailbox' } |
  ForEach-Object {
    $d = $_.AuditData | ConvertFrom-Json
    [pscustomobject]@{
      Time   = $d.CreationTime; User = $d.UserId; Op = $d.Operation
      IP     = $d.ClientIP; Session = $d.AppAccessContext.AADSessionId
      Params = ($d.Parameters | ForEach-Object { "$($_.Name)=$($_.Value)" }) -join '; '
    }
  } | Sort-Object Time | Format-Table -Wrap

Übertragen Sie dann ClientIP und Sitzung jeder Regel in die Anmeldeprotokolle. Eine Regel, die von der IP und mit der Session ID einer wiederverwendeten Sitzung erstellt wurde, ist nicht die Regel des Benutzers; der Sitzungs-Pivot zeigt, wie Sie das belegen.

Den aktuellen Zustand mit Get-InboxRule prüfen

Das Überwachungsprotokoll zeigt, was passiert ist; das Postfach zeigt, was noch da ist. Die von Microsoft empfohlenen Prüfungen (Microsoft Learn):

Get-Mailbox -Identity user@example.com | Format-List Forwarding*Address,DeliverTo*
Get-InboxRule -Mailbox user@example.com -IncludeHidden |
  Format-List Name,Enabled,RedirectTo,Forward*,Identity

Ein nicht leeres ForwardingSmtpAddress bedeutet SMTP-Weiterleitung an einen externen Empfänger, ForwardingAddress an einen internen. -IncludeHidden liefert auch Regeln, die normale Clients nicht anzeigen. Gleichen Sie die Liste mit dem Überwachungsverlauf ab: Eine Regel, die heute existiert, für die es im Export aber kein Erstellungsereignis gibt, wurde vor dem Exportzeitraum angelegt (erweitern Sie die Suche) oder auf einem Weg, den der Export nicht abdeckt.

Prüfen Sie auch die Verstecke: Öffnen Sie RSS Feeds, Archive, Conversation History, Notes und Deleted Items (Gelöschte Elemente) im Postfach des Opfers. Die Warn-E-Mail des Lieferanten liegt oft genau dort, ungelesen.

Weiterleitung auf Tenant-Ebene

Richtlinien für ausgehende Spamfilterung steuern die automatische Weiterleitung an externe Empfänger mit drei Einstellungen: Automatic – System-controlled (Standard, Verhalten je nach Organisation unterschiedlich), On und Off. Microsoft empfiehlt, ausdrücklich On oder Off zu setzen; im blockierten Zustand werden sowohl Regel- als auch Postfachweiterleitungen an externe Adressen mit einem NDR 5.7.520 gestoppt (Microsoft Learn). Eine Weiterleitungsregel im Überwachungsprotokoll beweist also nicht, dass E-Mails tatsächlich abgeflossen sind: Prüfen Sie diese Richtlinie, die Einstellungen für Remotedomänen und die Nachrichtenablaufverfolgung.

Wie M365 Forensics Posteingangsregeln bewertet

Der Analysator im Browser hat pro Muster eine Regel, alle einsehbar in seiner rules.json:

„Intern“ wird aus den Domänen der Tenant-Konten abgeleitet, die in den Protokollen vorkommen. Hat der Angreifer die Regel aus einer verdächtigen Sitzung erstellt, kommt der Korrelationsbefund („Aktionen aus der Sitzung oder von der IP des Angreifers“) hinzu, und das Urteil lautet Kompromittierung wahrscheinlich. Im integrierten fiktiven Beispiel bleibt eine legitime Regel „Newsletters“, erstellt von der Büro-IP, unmarkiert, während die Regeln „.“ und „..“ des Angreifers jeweils mehrere Befunde auslösen (Verstecken, Stichwörter oder externe Weiterleitung, sinnloser Name, Sitzung des Angreifers).

Wenn Sie eine gefunden haben

Löschen Sie die Regel nicht einfach. Sie beweist, dass jemand anderes das Konto benutzt hat, und ist womöglich nur einer von mehreren Persistenzmechanismen. Folgen Sie der ersten Stunde der Reaktion: Sitzungen widerrufen, Regeln und Weiterleitungen entfernen, MFA-Methoden des Angreifers und zugestimmte Apps entfernen, Anmeldedaten zurücksetzen, dann klären, was weitergeleitet, gelesen und gesendet wurde. Sichern Sie einen Export der Regel (und ihres Überwachungseintrags), bevor Sie sie entfernen.

Häufige Fragen

Wie sehe ich versteckte Posteingangsregeln in Microsoft 365?

Führen Sie Get-InboxRule -Mailbox <Benutzer> -IncludeHidden in Exchange Online PowerShell aus. Outlook und die Web-Einstellungen zeigen nicht jede Regel; das Überwachungsprotokoll zeigt, wann jede Regel erstellt wurde und von welcher IP.

Was macht eine Posteingangsregel verdächtig?

Eine Regel, die der Benutzer nicht erstellt hat und die E-Mails nach außen weiterleitet oder umleitet, löscht, als gelesen markiert oder in einen Ordner verschiebt, den niemand liest (RSS Feeds, Archive, Conversation History), oft gefiltert auf Wörter wie Rechnung, Zahlung oder Bank und oft mit einem Namen aus einem einzigen Zeichen.

Reicht es, die Regel zu löschen?

Nein. Die Regel beweist, dass jemand anderes das Konto benutzt hat. Widerrufen Sie die Sitzungen, entfernen Sie Weiterleitung, MFA-Methoden und App-Zustimmungen des Angreifers, setzen Sie die Anmeldedaten zurück und prüfen Sie, was weitergeleitet und gesendet wurde.

Weiterführende Links

• Microsoft Learn: Erkennen und Beheben von Outlook-Regeln und Angriffen durch Einschleusung benutzerdefinierter Formulare
• Glossar: Posteingangsregel, Business E-Mail Compromise
• Auch Gmail kennt Filter und Weiterleitungen: googleworkspaceforensics.com.