detecting-email-forwarding-rules-attack
Ajuda seu agente a encontrar regras de encaminhamento de e-mail maliciosas. Ele busca por regras ocultas que desviam e-mails para manter acesso.
O que ela faz
Esta ferramenta ajuda a encontrar regras de e-mail maliciosas que hackers criam para continuar acessando suas mensagens. Ela procura por encaminhamentos suspeitos ou regras escondidas que podem ser usadas para roubar informações ou aplicar golpes.
Quando usar
- ✓Quando você quer procurar por atividades estranhas de encaminhamento de e-mail.
- ✓Se você recebeu um aviso sobre campanhas de hackers usando essas táticas.
- ✓Durante uma investigação de segurança após uma conta ter sido invadida.
Exemplo do que pedir para a IA
“Procure por regras de encaminhamento de e-mail suspeitas na minha conta.”
Quer saber mais? Abra as seções abaixo.
Como usar
O jeito mais fácil: copie a mensagem abaixo e cole no Claude, ChatGPT, Cursor ou outra IA. Ela lê a skill e segue as instruções.
Link da skill
Mensagem pronta para colar
Como funciona
Ela funciona analisando os logs do seu sistema e ferramentas de segurança. Ao procurar por padrões específicos, ela identifica se regras de e-mail foram criadas para fins maliciosos.
Instalação
Jeito mais fácil: copie o link da skill e cole no Claude, ChatGPT ou Cursor pedindo para seguir as instruções.
No terminal (Claude Code, Codex, Cursor), na pasta do projeto:
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill detecting-email-forwarding-rules-attackOu baixe só o arquivo:
curl -L https://raw.githubusercontent.com/mukul975/Anthropic-Cybersecurity-Skills/main/skills/detecting-email-forwarding-rules-attack/SKILL.md -o SKILL.mdConteúdo técnico (SKILL.md)
Tradução do texto original do autor no GitHub. Os comandos e códigos estão como no original.
Detecção de Ataque de Regras de Encaminhamento de E-mail
Quando Usar
- Ao procurar proativamente por indicadores de detecção de ataque de regras de encaminhamento de e-mail no ambiente
- Após inteligência de ameaças indicar campanhas ativas usando essas técnicas
- Durante a resposta a incidentes para delimitar o comprometimento relacionado a essas técnicas
- Quando alertas de EDR ou SIEM disparam em indicadores relacionados
- Durante avaliações de segurança periódicas e exercícios de equipe roxa
Pré-requisitos
- Plataforma EDR com telemetria de processos e rede (CrowdStrike, MDE, SentinelOne)
- SIEM com dados de log relevantes ingeridos (Splunk, Elastic, Sentinel)
- Sysmon implantado com configuração abrangente
- Encaminhamento do Log de Eventos de Segurança do Windows habilitado
- Feeds de inteligência de ameaças para correlação de IOCs
Fluxo de Trabalho
- Formular Hipótese: Definir uma hipótese testável com base em inteligência de ameaças ou análise de lacunas do ATT&CK.
- Identificar Fontes de Dados: Determinar quais logs e telemetria são necessários para validar ou refutar a hipótese.
- Executar Consultas: Executar consultas de detecção contra plataformas SIEM e EDR para coletar eventos relevantes.
- Analisar Resultados: Examinar os resultados das consultas em busca de anomalias, correlacionando entre múltiplas fontes de dados.
- Validar Descobertas: Distinguir verdadeiros positivos de falsos positivos por meio de análise contextual.
- Correlacionar Atividade: Vincular descobertas a cadeias de ataque mais amplas e TTPs de atores de ameaças.
- Documentar e Relatar: Registrar descobertas, atualizar regras de detecção e recomendar ações de resposta.
Conceitos Chave
| Conceito | Descrição |
|---|---|
| T1114.003 | Regra de Encaminhamento de E-mail |
| T1114.002 | Coleta Remota de E-mail |
| T1098.002 | Permissões de Delegado de E-mail Adicionais |
Ferramentas e Sistemas
| Ferramenta | Propósito |
|---|---|
| CrowdStrike Falcon | Telemetria EDR e detecção de ameaças |
| Microsoft Defender for Endpoint | Caça avançada com KQL |
| Splunk Enterprise | Análise de logs SIEM com consultas SPL |
| Elastic Security | Regras de detecção e linha do tempo de investigação |
| Sysmon | Monitoramento detalhado de eventos do Windows |
| Velociraptor | Coleta de artefatos de endpoint e caça |
| Sigma Rules | Formato de regra de detecção multiplataforma |
Cenários Comuns
- Cenário 1: Ator de BEC criando regra de encaminhamento para e-mail externo
- Cenário 2: Conta comprometida com regra excluindo alertas de segurança
- Cenário 3: Regra de caixa de entrada encaminhando e-mails do CEO para a caixa de correio do atacante
- Cenário 4: Abuso de aplicativo OAuth criando regras de transporte para coleta de dados
Formato de Saída
Hunt ID: TH-DETECT-[DATE]-[SEQ]
Technique: T1114.003
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]
Perguntas frequentes
O que é um ataque de regras de encaminhamento de e-mail?
É quando um invasor configura seu e-mail para encaminhar cópias das suas mensagens para um endereço de e-mail controlado por ele, sem que você perceba.
Quais ferramentas são necessárias?
Você precisa de sistemas de segurança como EDR (para monitorar computadores) e SIEM (para analisar logs), além de ferramentas específicas de monitoramento como Sysmon.
O que significa T1114.003?
É um código usado por especialistas em segurança para identificar uma tática específica de ataque: a criação de regras de encaminhamento de e-mail.
Detalhes
Descrição original do autor
Detect malicious inbox/mail-flow forwarding rules that adversaries create to maintain persistent access to email communications for intelligence collection and business email compromise. Use when hunting for suspicious auto-forwarding, hidden mailbox rules, or T1114-style email collection persistence after a compromised account or BEC incident.
Popularidade
- Estrelas no GitHub
- 35 mil
- Posição no ranking
- #5663
- Licença
- Apache-2.0
- Atualizada em
- 31/08/2026
Comentários
- …
Mais skills deste repositório
abusing-dpapi-for-credential-access
Dá ao seu agente de IA instruções prontas para uma tarefa específica, para ele fazer melhor e mais rápido.
mukul975/Anthropic-Cybersecurity-Skills
abusing-shadow-credentials-for-privesc
Ensina seu agente de IA a escrever textos claros e bem estruturados.
mukul975/Anthropic-Cybersecurity-Skills
achieving-cmmc-level-2-compliance
Ajuda seu agente a preparar um ambiente para conformidade com CMMC Nível 2. Ele implementa requisitos de segurança e gerencia a documentação necessária.
mukul975/Anthropic-Cybersecurity-Skills
acquiring-disk-image-with-dd-and-dcfldd
Ajuda seu agente a criar cópias exatas de discos rígidos. Isso é útil para garantir que nenhuma informação seja perdida ou alterada durante investigações.
mukul975/Anthropic-Cybersecurity-Skills
Skills parecidas
dashboard-builder
Ajuda seu agente a criar painéis de monitoramento úteis. Ele transforma dados em gráficos que respondem a perguntas importantes sobre o sistema.
affaan-m/ECC
dev-team
Simula uma equipe de desenvolvimento colaborativa, onde diferentes papéis respondem a um problema juntos. É útil para obter múltiplas perspectivas sem trocar de agente manualmente.
affaan-m/ECC
ecc-council
Faz seu agente reunir um conselho de quatro vozes para tomar decisões difíceis. É útil quando há várias opções boas e é preciso debater antes de escolher.
affaan-m/ECC