SMTP（Simple Mail Transfer Protocol）を介したデータ流出は、攻撃者が侵害されたシステムから機密情報または機密情報を外部に転送するために使用する強固な方法です。標準的な電子メール通信プロトコルであるSMTPは、一般的に許可されているポート（ポート25、465、または587など）上で動作するため、攻撃者が流出用に選択します。しかし、このような危険性があるにもかかわらず、企業環境内でブロックされることはほとんどありません。
攻撃者は、機密データを電子メールの添付ファイルまたは本文コンテンツにエンコードし、制御下にある外部電子メールアカウントに送信することでプロトコルを悪用できるため、ITセキュリティ専門家およびネットワーク管理者はSMTPトラフィックを監視する必要があります。SMTPトラフィックは通常、STARTTLSやSMTPSなどのプロトコルを使用して暗号化されているため、暗号化されたトラフィックを検査するように設定されていない従来の多くのネットワーク監視ツールをバイパスすることができます。さらに、企業のワークフローで電子メールが合法的に使用されているため、特に攻撃者が流出データを合法的な電子メールアクティビティと混合させた場合、侵入検知システムにとってSMTP経由の流出は疑わしいものではなくなります。
Snakeローダーとキーロガーのコード分析が以前に行われ、そのテクニックと戦術が強調されました。今日、Aryaka Threat Research Labは、snakeキーロガーが流出前に使用するSMTPベースのデータ流出メカニズムを分析しています。
攻撃者は多くの場合、（フィッシングやクレデンシャル盗難によって）侵害された電子メールアカウントを悪用して電子メールを送信し、その活動を合法的に見せて成功の可能性を高めます。もう1つの手口は、特別に細工されたマルウェアを使用してデータ収集、エンコード、および流出を自動化するもので、多くの場合、SMTPサーバーと直接やり取りするように設定されています。このマルウェアには、定期的に接続性をチェックするメカニズムや、ブロックリストを回避するために電子メールの受信者アドレスを動的に更新するメカニズムが含まれている場合があります。
図1：snake infostealerを実行している侵害されたシステムからトリガーされたSMTP通信
完全なワークフローを理解するために、TCPセッション・ストリームを分析することで、それを解剖してみましょう。
- snake infostealerを実行している侵害されたシステムは、サーバにクライアントを識別し、拡張SMTP（ESMTP）機能のサポートを示すために、EHLO（拡張HELO）コマンドを送信します。
- AUTHコマンドは、侵害されたシステム上で実行されている SMTP クライアントと SMTP サーバー間の認証プロセスを開始します。SMTPサーバーに認証証明書を提供するための様々な認証メカニズムをサポートしています。これにより、snake infostealerを実行している許可されたシステムのみが、サーバーを介して電子メールをリレーできるようになります。c2VuZGVyQGluaG91c2VwaWNrLmNvbQ==”は“sender@inhousepick.com” にデコードされます。パスワード文字列「IyhQJWVPXiNKMA==」は、「#(P%eO^#J0)」とデコードされます。認証が完了すると、リモートサーバーはsnake infostealerを実行している感染したシステムから開始された接続の検証に成功します。リモートサーバーは次のステップを待ちます。図2はこのメカニズムを検証したものです。
図 2: SMTP 認証コマンドの交換
認証後、侵害されたシステムは “MAIL FROM “コマンドを送信し、電子メールの送信者である“sender@inhousepick.com “を強調表示します。同様に、”RCPT TO “コマンドは電子メールの受信者を強調表示し、この場合は“inlogs@inhousepick.com “です。250 OK」応答は、サーバーがコマンドを受け入れたことを示しています。図3に示すように、侵害されたシステムが “DATA “コマンドを使用して、侵害されたシステムから盗まれた情報を流出させる様子を示しています。
図 3: SMTP: DATA コマンドによるデータ流出
DATAコマンドは、クライアントが電子メールのコンテンツを送信できることをSMTPサーバーに通知します。コマンドが発行され、サーバーが肯定的に応答すると、クライアントは電子メールのヘッダーと本文を送信し、特定の区切り文字で送信を終了します。Snake infostealerがインストールされた侵害されたシステム上で実行されているSMTPクライアントは、「DATA」コマンドを送信し、リモートサーバーは、メッセージコンテンツを受信する準備ができていることを示す354コードで応答します。データが流出すると、クライアントは「QUIT」（図4参照）コマンドを発行してSMTPセッションを切り捨てます。スネーク情報窃盗犯によって盗まれた機密データがSMTPチャネルを介して流出していることがわかります。
図4：流出成功後のSMTPコネクションのクローズ
お気づきかもしれませんが、侵害されたsnake infostealerシステムはSTARTTLSを使用せず、潜在的にセンシティブなメールヘッダー、本文コンテンツ、認証クレデンシャルを含む、暗号化されていないフォーマットですべてのコマンドとメッセージコンテンツをネットワーク経由で送信していました。システムはSTARTTLSなしでメールサーバーにログインするためにSMTP AUTHを使用するため、ユーザー名とパスワードはプレーンテキストで送信されます。
SMTPは企業環境で広く許可されているため、この活動は注意深く監視しない限り気づかれない可能性があります。データを小分けにして送信したり、正規の電子メールに偽装したりすることで、攻撃者は侵入検知システム（IDS）やデータ損失防止（DLP）ツールによる検知を回避することができます。
Unified SASE as a ServiceはSMTP侵害の軽減にどのように役立ちますか？
統合セキュアアクセスサービスエッジ（SASE）フレームワークは、ネットワークセキュリティとゼロトラストアクセスコントロールを統合し、SMTPトラフィックを標的とする脅威などのデータ流出から組織を保護します。SASEは、一元化された可視性と監視を提供し、セキュリティチームが電子メールアクティビティの突然の急増や信頼できない外部メールサーバーへの接続などの異常を検出できるようにします。
電子メール通信を含むすべてのトラフィックに一貫したセキュリティポリシーを適用することで、Unified SASEは、不正なSMTPトラフィック、悪意のある添付ファイル、送信データの漏えいをリアルタイムで検出してブロックし、即座にセキュリティを確保します。SASEのコンテンツ検査機能は、機密データがSMTP経由で流出するのを防ぎます。送信メールを検査し、機密情報（クレジットカード番号、知的財産、個人識別子など）のパターンを検出し、不正な送信を自動的にブロックします。