Уязвимост “Ghost-Sender”, засягаща хибридни Exchange Onprem – Online конфигурации

“Ghost-Sender” е уязвимост която се изразява в широко разпространена грешка в конфигурацията, която позволява фалшифициране на имейли към организации използващи Exchange online тенанти или хибридни Exchange Onprem -> Еxchange Online конфигурации. При определени конфигурации в този сценарий е възможно която позволява изпращане на фишинг email, който да заобиколи стандартните протоколи за верификация (SPF, DKIM и DMARC) и да бъде доставен като легитимен до крайната потребителска кутия.

Една организация е уязвима към тази техника за фалшиви имейли при следните обстоятелства:

Конфигурация на имейл трафика – Организацията използва Exchange Online или хибридна версия на Exchange.

Външни MX записи- MX записите на домейна не са насочени към Microsoft (*.mail.protection.outlook.com), а към “email gateway” на трета страна, спам филтър или локален имейл сървър.

Липса на допълнителна конфигурация на “Partner Organization” конектор със строго зададен IP адрес или сертификат, който е базиран на рестрикции. Друга мярка за сигурност може да се счита правило тип “priority-0 transport” за отхвърляне/карантиниране на поща, пристигаща извън разрешения път.

Защитите срещу „spoofing“ често се базират на проверка за това дали съобщението минава през удостоверяване. При Ghost-Sender фокуса се измества към това дали неуспешното удостоверяване се прилага преди да бъде доставянето на съобщението, което ще попречи неговото блокиране.