Glossar
Posteingangsregel (Inbox Rule)
Eine Postfachregel, die eingehende Nachrichten automatisch verschiebt, löscht, markiert oder weiterleitet; Angreifer nutzen sie beim BEC, um Antworten zu verstecken und E-Mails abzuziehen.
Eine Posteingangsregel ist eine serverseitige Regel in einem Exchange-Online-Postfach, die auf eingehende Nachrichten reagiert: in einen Ordner verschieben, als gelesen markieren, löschen, weiterleiten oder umleiten. Benutzer legen sie in Outlook an; Angreifer legen sie nach einer Kontoübernahme an, um Antworten zu verstecken (nach RSS Feeds oder Archive verschieben, als gelesen markieren, löschen) und weiterhin Kopien zu erhalten (Weiterleitung an eine externe Adresse). MITRE ATT&CK führt sie als Email Hiding Rules (T1564.008) und Email Forwarding Rule (T1114.003).
Im Unified Audit Log erscheinen sie als New-InboxRule, Set-InboxRule, Enable-InboxRule (Outlook im Web, PowerShell) oder UpdateInboxRules (Outlook-Desktop). Die aktuellen Regeln, auch versteckte, listet Get-InboxRule -IncludeHidden auf.