Ghost-Sender : usurpation universelle d'emails contre Exchange Online via mauvaise configuration

🔍 Contexte

Publié le 9 juin 2026 par Lucas Dodgson, Tobias Oberdörfer et Robin Hilber (InfoGuard Labs), cet article de recherche offensive décrit une vulnérabilité de configuration baptisée Ghost-Sender, affectant Microsoft Exchange Online utilisé en combinaison avec un enregistrement MX externe (solution de filtrage tiers ou anti-spam).

⚠️ Description de la vulnérabilité

Ghost-Sender exploite le comportement par défaut d’Exchange Online qui accepte tout email entrant directement adressé au tenant, indépendamment des résultats des contrôles SPF, DKIM et DMARC. Lorsqu’un enregistrement MX externe est configuré (ex : Mailgun, solution anti-spam tierce), un attaquant peut contourner ce filtrage en envoyant directement au endpoint Exchange Online (*.mail.protection.outlook.com), livrant des emails usurpés depuis n’importe quel expéditeur interne ou externe.

Pour les expéditeurs internes, Outlook résout même la photo de profil de l’expéditeur usurpé, rendant l’attaque particulièrement convaincante.

📊 Étendue et impact

• Plus de 20% des domaines bug bounty utilisant Exchange Online sont vulnérables
• Moins de 50% des environnements avec MX externe ont une mitigation appliquée
• Exploitation possible avec un simple one-liner PowerShell (Send-MailMessage)
• Usages malveillants possibles : fausses factures, phishing CEO fraud, campagnes de phishing avec expéditeurs arbitraires
• Abus actif confirmé par le support Microsoft dès le 21 avril 2026

🛠️ Configurations vulnérables et sécurisées

Vulnérables :

• MX externe sans configuration supplémentaire
• Connecteur « Your organization’s email server » (avec ou sans Enhanced Filtering)
• Politiques anti-phishing/anti-spam avec « Honor DMARC » activé
• Presets Standard et Strict Protection

Sécurisées :

• MX pointant directement vers Exchange Online Protection
• Connecteur « Partner Organization » avec wildcard + restriction par certificat ou IP
• Transport rule (priorité 0) mettant en quarantaine les emails hors IP approuvées

📅 Timeline de divulgation

• 21 avril 2026 : Signalement à MSRC → fermé comme non-vulnérabilité
• 22 avril 2026 : Support général révèle une campagne d’usurpation active depuis le 21 avril
• 22 avril 2026 : Mitigation interne déployée puis révoquée le 27 avril
• 29 mai 2026 : Microsoft qualifie cela de « limitation architecturale connue » et non d’une vulnérabilité produit
• 9 juin 2026 : Publication publique avec outil de test https://ghost-sender.com/

📌 Type d’article

Il s’agit d’une publication de recherche offensive combinant analyse technique détaillée, divulgation responsable et mise à disposition d’un outil de test public, visant à sensibiliser les organisations utilisant Exchange Online avec un MX externe.

🧠 TTPs et IOCs détectés

TTP

• T1566 — Phishing (Initial Access)
• T1566.002 — Phishing: Spearphishing Link (Initial Access)
• T1036 — Masquerading (Defense Evasion)
• T1078 — Valid Accounts (Defense Evasion)
• T1199 — Trusted Relationship (Initial Access)

🟡 Indice de vérification factuelle : 46/100 (moyenne)

• ⬜ labs.infoguard.ch — source non référencée (0pts)
• ✅ 16925 chars — texte complet (fulltext extrait) (15pts)
• ✅ 2 IOC(s) (6pts)
• ⬜ 0/2 IOCs confirmés externellement (0pts)
• ✅ 5 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://labs.infoguard.ch/posts/ghost-sender/