Attacco e-mail spoofing: Capirlo per difendersi

Introduzione

Una e-mail è composta da due parti :

Analisi / Pre-Attacco

Per eseguire questo tipo di attacco si utilizzerà la possibilità di modificare l’header di una mail, facendo credere al destinatario che l’e-mail proviene da un indirizzo lecito. La mail in questione, se analizzata, restituirà il reale indirizzo di provenienza, quindi per spedirla dovremmo utilizzare un indirizzo non riconducibile a noi.

Come esempio per effettuare l’attacco, useremo il client di posta Mozilla Thunderbird insieme ad un plugin denominato “Header Tools Lite” (Download sulla pagina ufficiale di thunderbird.net) che consente la modifica dell’header delle e-mail.

Dopo aver installato e attivato il plugin andiamo a comporre una mail, clicchiamo in alto sul campo mittente e scegliamo l’opzione “Personalizza campo Da…” oppure clicchiamo Freccia SU una volta selezionato il campo mittente.

Saremo quindi in grado di modificare l’indirizzo di spedizione con un indirizzo falso.

Possiamo quindi comporre il messaggio assicurandoci di aver inserito la firma, ricevuta durante la fase di pre-attacco. Si consiglia di non inserire mai allegati malevoli all’interno del messaggio poiché essi verranno analizzati in fase di ricezione compromettendo l’effettiva ricezione della mail; inseriamo piuttosto un link fidato all’interno del messaggio che porti alla pagina di download dell’eventuale payload.

Questa sarà la mail che il target riceverà, con header modificato :

Come detto prima, se viene analizzato il codice RAW della mail è possibile risalire al vero mittente :

• Nel campo “envelope-from” ci sarà il mittente reale
• Nel campo “From” ci sarà invece il mittente falsificato, che è quello che viene visualizzato nei client di posta

2. Falsificazione dell’header tramite client di posta con attacco ASCII

Sfrutta lo stesso meccanismo dell’attacco precedente, in questo caso però si andrà a modificare la mail di invio con indirizzo di dominio che differisce di una singola lettera con quella reale, ma che per il lettore risulterà identico. Si può fare ad esempio su domini che contengono la lettera L, che verrà sostituita dalla lettera I maiuscola (es. lettera.com sostituibile con Iettera.com).

Questo tipo di attacco è il più devastante perché la mail a tutti gli effetti è falsa ma non è falsa secondo le regole di dominio quindi molto probabilmente non verrà intercettata dai sistemi di sicurezza (salvo che siano opportunamente configurati con delle black list create ad-hoc).

3. Sessione telnet sulla piattaforma di filtraggio della posta

Si utlizza per attacchi intra dominio o per attaccare due domini presenti sulla stessa piattaforma.
Quando sceglierlo: È da scegliere quando le condizioni sopra indicate non permettono nessun tipo di attacco.

Per portarlo a segno bisogna individuare la piattaforma di filtraggio che usa il target e crearsi un’utenza a pagamento, o di prova sulla stessa piattaforma, dopodichè è necessario autorizzare l’indirizzo IP dal quale si esegue lo spoofing o se presenti utilizzare i tool interni alla piattaforma già autorizzati (e-mail client o telnet). Poichè la batteria dei server SMTP è condivisa fra tutti gli utenti autenticati alla piattaforma, tramite una sessione telnet avviata verso la piattaforma stessa sarà possibile spedire e-mail tra indirizzi/domini autenticati alla piattaforma indipendentemente da quali essi siano.
In questo caso sia l’header che l’envelope della e-mail sono autentici in quanto la piattaforma è autorizzata a spedire per conto del dominio.
Per maggiore chiarezza autenticandomi alla piattaforma di filtraggio tramite una sessione telnet posso spedire tra indirizzi del dominio xyx.com non mio o da indirizzi del dominio abc.com al dominio xyz.com sempre non miei.
Questo tipo di attacco si basa sul fatto che le piattaforme di filtraggio condivise danno per scontato che un utente autenticato sia trusted, quindi gli permettono di utilizzare i server SMTP condivisi a piacimento.

4. Sessione telnet direttamente sul server di posta

Si utilizza per attacchi intra dominio.
Quando sceglierlo: È da scegliere quando le condizioni sopra indicate non permettono nessun tipo di attacco e sul mail server non è stato attivato un meccanismo di anti-spoofing (Se sul server di posta è configurato l’anti-spoofing è necessario usare la metodologia spiegata nell’attacco ASCII per superare questa protezione).

Per portarlo a segno bisogna individuare l’IP del mail server che usa il target, per fare ciò possiamo cercare nei DNS di dominio, il record associato alla webmail o il record MX, oppure analizzando il RAW della mail ricevuta in fase di pre attacco.
Se il server di posta è “bindato” con il sistema di filtraggio su tutte le porte (ovvero accetterà connessioni solo ed esclusivamente dal sistema di filtraggio)  non sarà possibile aprire sessioni Telnet ed effettuare l’attacco.

Come effettuarlo: Assolutamente senza lasciare le nostre tracce. Bisogna quindi eliminare ogni possibile riferimento a noi e far partire le connessioni, ad esempio, da una macchina Tails.

Se usiamo Tails è necessario prima installare TELNET poiché ne è sprovvisto di default:

sudo su
apt-get install telnet

1. Aprire una shell da Tails attivando i socks di TOR

   (Note: se l’IP risulta essere inserito in blacklist, resettare il circuito Tor)

   Sostituire mail.server.ext con l’IP del server di posta o con il suo nome DNS.

   torsocks telnet  mail.server.ext 25

2. Presentarsi al server con qualsiasi nome di dominio (preferibilmente lo stesso del destinatario)

   helo domain1.com

3. Inseriamo il comando “MAIL FROM” e l’ indirizzo dal quale facciamo partire l’email (se il server ha l’antispoofing bisogna modificare uno o più caratteri come descritto nell’attacco ASCII):

   MAIL FROM:<[email protected]>

4. Inseriamo il comando “RCPT TO” Indirizzo reale al quale facciamo arrivare l’email, deve essere una email esistente sul server di posta:

   RCPT TO:<[email protected]>

5. A questo punto diamo il comando DATA per iniziare a scrivere la mail:

   DATA

6. E scriviamo infine il contenuto della mail:

   Si consiglia di copiare il contenuto di esempio che trovate qui sotto, modificarlo a parte come più desiderate e incollarlo successivamente nella sessione telnet, questo poiché non potremmo correggerlo una volta digitato.
   NOTE: L’e-mail deve terminare sempre con il carattere . (punto) seguito da un INVIO.

   From: Alice <[email protected]>
   Subject: Oggetto della mail 
   Date: Thu, 04 Oct 2019 10:25:36 +0200
   To: [email protected] 
   
   Messaggio di test. 
   
   .
   

7.  Chiudiamo la sessione telnet dando il comando QUIT:

   QUIT

Callback verification “RCPT TO”: Sfruttando i comandi visti prima è possibile verificare che l’indirizzo di posta che ci interessa esiste realmente. Per farlo, quando diamo il comando “MAIL FROM” è sufficiente inserire un mittente vuoto (solitamente accettato):

MAIL FROM:<>

Dopodiché, all’interno del comando “RCPT TO” andiamo ad inserire l’indirizzo del quale vogliamo verificare l’esistenza:

RCPT TO: [email protected]

Se il server ci risponderà con “Recipient OK” avremo la conferma che l’indirizzo esiste e potremmo chiudere la sessione.

5. Attacco alle Whitelist

È da scegliere quando le condizioni sopra indicate non permettono nessun altro tipo di attacco. Questo tipo di attacco si basa sulle whitelist create dagli utenti di un dominio per permettere a dei contatti fidati di spedire mail che altrimenti sarebbero bloccate dal sistema di filtraggio o categorizzate come spam.

Solitamente, se una persona riceve continuamente mail da un indirizzo fidato, ma quest’ultime vanno a finire nella casella SPAM o vengono bloccate dal sistema di filtraggio ha la possibilità di mettere in whitelist gli indirizzi, in modo tale che il sistema di filtraggio non controlli più le mail inviate con quell’indirizzo.

Se si conoscono uno o più indirizzi inseriti nella Whitelist del target è possibile “spoofare” questi indirizzi e mandare messaggi senza essere controllati dal sistema di filtraggio. Tramite questo tipo di attacco, dato che il messaggio passa trasparente al sistema di filtraggio, è possibile anche inviare allegati malevoli (sconsigliato comunque perchè potrebbero essere intercettati da ulteriori layer di sicurezza).