T1564.008: 电子邮件隐藏规则

摘要

攻击者可能使用电子邮件规则来隐藏受陷用户邮箱中的入站电子邮件。许多电子邮件客户端允许用户为各种电子邮件功能创建收件箱规则，包括将电子邮件移动到其他文件夹、将电子邮件标记为已读或删除电子邮件。规则可以在电子邮件客户端内创建或修改，也可以通过外部功能创建或修改，例如 Windows 系统上的 <code>New-InboxRule</code> 或 <code>Set-InboxRule</code> [PowerShell](https://attack.mitre.org/techniques/T1059/001) cmdlet。(Citation: Microsoft Inbox Rules)(Citation: MacOS Email Rules)(Citation: Microsoft New-InboxRule)(Citation: Microsoft Set-InboxRule) 攻击者可能利用受陷用户邮箱中的电子邮件规则，删除和/或将电子邮件移动到不太显眼的文件夹。攻击者这样做可能是为了隐藏安全警报、C2 通信，或对从受陷账户发出的[内部鱼叉式钓鱼](https://attack.mitre.org/techniques/T1534)电子邮件的回复。 组织内的任何用户或管理员（或拥有有效凭据的攻击者）都可能创建规则来自动移动或删除电子邮件。如果电子邮件内容被用户或防御者立即看到，这些规则可被滥用来削弱/延迟检测。恶意规则通常根据邮件正文和主题行中发现的特定关键词（如 <code>malware</code>、<code>suspicious</code>、<code>phish</code> 和 <code>hack</code>）过滤电子邮件。(Citation: Microsoft Cloud App Security) 在某些环境中，管理员可能能够启用作用于整个组织而非单个收件箱的电子邮件规则。例如，Microsoft Exchange 支持传输规则，它根据用户指定的条件评估组织收到的所有邮件，然后对符合这些条件的邮件执行用户指定的操作。(Citation: Microsoft Mail Flow Rules 2023) 滥用此类功能的攻击者可能能够自动修改或删除与特定主题相关的所有电子邮件（例如内部安全事件通知）。