ค้นหาเว็บไซต์

จำลองการโจมตีอีเมลหลอกลวง | วิธีจำลองการโจมตีอีเมลปลอม | ตอนที่ 11#12 .com

ในบทความปัจจุบัน เราจะสาธิตสามตัวเลือกในการบรรลุภารกิจจำลองการโจมตีด้วยการปลอมแปลงอีเมล

เป้าหมายหลักของเราคือการทดสอบ ซึ่งตรวจสอบว่ากฎ Exchange Online Spoof E-mail ที่เราสร้างขึ้นนั้นจัดการเพื่อระบุเหตุการณ์ของ Spoof E-mail และตอบสนองตามนั้นหรือไม่

ข้อจำกัดความรับผิดชอบ

เป็นสิ่งสำคัญสำหรับฉันที่จะชี้ให้เห็นว่านี่ไม่ใช่ข้อมูล "หมวกดำ" แต่เป็นข้อมูลสำหรับเรา ("หมวกสีขาว") ในการทดสอบความแข็งแกร่งของโครงสร้างพื้นฐานเมลของเรา

กระบวนการที่เรากำลังปลอมแปลงข้อมูลระบุตัวตนของผู้รับต้นทางโดยใช้เครื่องมือควรใช้เพื่อ "วัตถุประสงค์ในการทดสอบ" อย่างเคร่งครัด และไม่ใช่เพื่อวัตถุประสงค์ที่เป็นอันตรายอื่นใด

ข้อมูลทั่วไป

บทความปัจจุบันเป็นบทความต่อจากบทความก่อนหน้าซึ่งเราได้ตรวจสอบขั้นตอนเบื้องต้นของการโจมตีทางอีเมลหลอกลวง

ในส่วนที่สี่ เราจะตรวจสอบวิธีการตรวจสอบว่ากฎ Exchange Online Spoofed E-mail ทำงาน "ถูกต้อง" หรือไม่ ซึ่งหมายถึง - จัดการเพื่อระบุการโจมตีด้วยอีเมลปลอม + ดำเนินการเช่น: การลบอีเมลปลอมและ การส่งรายงานเหตุการณ์ไปยังผู้รับที่กำหนด (ผู้ดูแลระบบ Exchange Online ในตัวอย่างของเรา)

การโจมตีด้วยอีเมล์ปลอม | คำอธิบายสถานการณ์

เป็นเพียงคำเตือนสั้นๆ สำหรับตัวละครในสถานการณ์ของเรา:

องค์ประกอบที่ไม่เป็นมิตรกำลังพยายามปลอมแปลงตัวตนของผู้รับองค์กรที่ถูกต้องตามกฎหมายชื่อ - Suzan (Suzan@o365pilot.com)

องค์ประกอบที่ไม่เป็นมิตรจะส่งข้อความอีเมลปลอมไปยังผู้รับองค์กรที่ใช้ที่อยู่อีเมล - Bob@o365pilot.com

เพื่อให้สามารถเลียนแบบการโจมตีทางอีเมลหลอกลวงได้ เราจะใช้เซสชันเทลเน็ต SMTP ซึ่งเราจะจัดการกับเมลเซิร์ฟเวอร์ที่แสดงถึงชื่อโดเมน - o365pilot.com

จำลองการโจมตีอีเมลปลอมโดยใช้เซสชัน Telnet

เครื่องมือพื้นฐานที่สุดที่เราสามารถใช้เพื่อจำลองการโจมตีด้วยการปลอมแปลงอีเมลคือ - เชลล์คำสั่งที่ใช้เซสชันเทลเน็ต SMTP

ในกรณีที่เราใช้ "ไคลเอ็นต์ telnet ของ Windows OS" เราจะต้องติดตั้งไคลเอ็นต์ telnet (ไคลเอ็นต์ telnet ไม่ได้ติดตั้งตามค่าเริ่มต้น)

ในการสาธิตเฉพาะของเรา ฉันจะใช้โปรแกรมจำลองคอนโซล Windows ที่ดีมากพร้อมแท็บชื่อ ConEmu

จำลองการโจมตีอีเมลปลอมโดยใช้เทลเน็ต

ก่อนที่เราจะเริ่มต้น การนำเสนอสั้น ๆ สำหรับคำสั่ง telnet SMTP ที่เราใช้สำหรับสร้างช่องทางการสื่อสาร SMTP ด้วยเมลเซิร์ฟเวอร์

หมายเหตุ: การสื่อสารเทลเน็ต SMTP มีคำสั่งเพิ่มเติมด้วยหรือไม่ ที่เราจะไม่ทบทวนในบทความปัจจุบัน

ในกล่องต่อไปนี้ เราจะเห็นตัวอย่างของไวยากรณ์และลำดับคำสั่ง SMTP ที่เราใช้:

Telnet <Host name> 25

The first command used for initializing the SMTP session with the destination mail server using a Telnet client.
We use the command Telnet + the host name of the target host + the required communication port number.
A standard mail session is usually implemented by using port 25
Ehlo

This is the command that we use for starting the session with the destination host
(the mail server).
Mail from: <E-mail address>

This is the command that we use for telling the mail server – “who we are.”
In a scenario of spoofed E-mail attack, we present ourselves as a legitimate organization user (impersonating our identity).
Rcpt to: <E-mail address>

This is the command that we use for telling the mail server – “who is the destination recipient.”
In a scenario of spoofed E-mail attack, this is the legitimate organization recipient whom we want to attack.
Data

This is the command that we use for “signaling” the mail server than from this phase, we start to write the E-mail message that needs to be sent.
Subject: <Text>

This is an optional command that we use for describing the subject of the E-mail message. I prefer to use the “subject” command because, in this way, it’s easy for me to identify the “Spoofed E-mail message” that I try to send when I try to check if the spoofed E-mail reaches to the destination recipient mailbox or was blocked by the Exchange Online server.
<E-mail Message Text>

This is not a “command” but instead, the text string that will appear in the E-mail message body (this is an optional step). In case that we want to write text that will send in the body of the E-mail message, we should click on the “space” keyboard key twice.
.

The ” Dot” or the “point” characters are a very important because, this is the character that we use for informing the destination mail server that we want to End the specific SMTP session, meaning - tell the mail server that he is “allowed” to take the E-mail message and deliver the E-mail message to the destination recipient.

ในกล่องต่อไปนี้ เราจะเห็นตัวอย่างสำหรับเซสชันเทลเน็ต SMTP ที่เราใช้สำหรับจำลองผู้รับที่ไม่ได้รับการรับรองความถูกต้อง ซึ่งแสดงตัวว่าเป็น "ผู้รับที่ถูกต้องตามกฎหมาย" จากโดเมนของเรา ซึ่งพยายามส่งข้อความอีเมลไปยังปลายทาง ผู้รับ (รวมถึงโดเมนของเราด้วย)

1. Telnet mail.o365pilot.com 25

2. ehlo

3. Mail from: Suzan@o365pilot.com

4. Rcpt to: Bob@o365pilot.com

5. Data

6. Subject: This is test E-mail message

7. Hello, how are you?

8. .

ในภาพหน้าจอต่อไปนี้ เราจะเห็นตัวอย่างเซสชัน SMTP telnet

จำลองการโจมตีอีเมลปลอมโดยใช้โปรแกรมรับส่งเมล Jbmail

ในส่วนถัดไป เราจะตรวจสอบการสาธิตการจำลองการโจมตีอีเมลปลอม โดยใช้โปรแกรมรับส่งเมลที่มีประโยชน์มากซึ่งฉันชอบใช้ชื่อ Jbmail

ไคลเอนต์จดหมาย Jbmail เป็นซอฟต์แวร์ชิ้นเล็ก ๆ และไม่จำเป็นต้องติดตั้งแม้แต่ไคลเอนต์ (เปิดใช้งานไคลเอนต์โดยใช้ไฟล์ EXE เท่านั้น)

วิธีใช้ โปรแกรมรับส่งเมล Jbmail เพื่อจำลองการโจมตีด้วยการปลอมแปลงอีเมล

  1. ในระยะแรก เราจะสร้าง "โปรไฟล์เมลใหม่" ซึ่งจะรวมการตั้งค่าเฉพาะสำหรับโครงสร้างพื้นฐานเมลที่เราต้องการระบุ\test (o365pilot.com ในสถานการณ์ของเรา ).
  2. ในระยะที่สอง เราจะพยายามจำลองการโจมตีด้วยการปลอมแปลงโดยนำเสนอตนเองว่าเป็นผู้ใช้ขององค์กรที่ใช้ที่อยู่อีเมล Suzan@o365pilot.com
  • เราจะสร้างโปรไฟล์เมลใหม่โดยเลือกตัวเลือก ใหม่
  • ป้อนชื่อโปรไฟล์เมล
  • เลือกตัวเลือก บันทึก

  • โฮสต์ SMTP: ในช่องนี้ เราจะต้องระบุชื่อโฮสต์ของเมลเซิร์ฟเวอร์ที่เรา ต้องการที่อยู่ ในตัวอย่างของเรา ชื่อโฮสต์ของเมลเซิร์ฟเวอร์ที่แสดงถึงชื่อโดเมน com คือ - o365pilot-com.mail.protection.outlook.com
  • พอร์ต: นี่คือหมายเลขพอร์ตที่เซิร์ฟเวอร์เมลปลายทาง "กำลังฟัง" ในการสื่อสารเมลมาตรฐาน หมายเลขพอร์ตคือ - 25
  • ชื่อของคุณ: นี่เป็นเพียงชื่อที่แสดงของผู้ใช้ที่ ส่งจดหมาย
  • ที่อยู่ของคุณ: นี่คือที่อยู่อีเมล "ผู้รับต้นทาง" ในสถานการณ์ของเรา เราต้องการทดสอบการโจมตีด้วยการปลอมแปลงโดยแสดงตนว่าเป็นผู้รับองค์กรที่ถูกต้องตามกฎหมายซึ่งใช้
    ที่อยู่อีเมล -Suzan@o365pilot.com

ในระยะที่ 2 เราจะส่งข้อความอีเมลไปยังผู้รับปลายทางของเรา

  • เลือกแท็บ บัญชี
  • คลิกที่ปุ่ม เขียน เพื่อสร้างข้อความอีเมลใหม่

  • ในช่อง ถึง: เราจะเพิ่มที่อยู่อีเมลปลายทาง ในสถานการณ์เฉพาะของเรา “ผู้รับเป้าหมาย” คือ Bob@o365pilot.com
  • คลิกที่ปุ่ม ส่ง

ในภาพหน้าจอต่อไปนี้ เราจะเห็นว่าอีเมลที่ส่งสำเร็จแล้ว

ความหมายคือเราจัดการเพื่อจัดการกับเซิร์ฟเวอร์ Exchange Online ซึ่งเป็นตัวแทนของโดเมน o365pilot.com และขอให้ส่งข้อความอีเมลไปยังผู้รับปลายทาง

โปรดสังเกตว่าการที่เราจัดการเพื่อจัดการกับเซิร์ฟเวอร์ Exchange Online ไม่ได้หมายความว่า
ข้อความอีเมลถึงปลายทางแล้ว แต่เรามั่นใจได้เพียงว่า Exchange Online “ตกลงที่จะยอมรับ” ข้อความอีเมลของเรา

จำลองการโจมตีด้วยการปลอมแปลงอีเมลโดยใช้เครื่องมือบนเว็บออนไลน์

ตัวเลือกเพิ่มเติมที่เราสามารถใช้เพื่อวัตถุประสงค์ในการส่ง "อีเมลที่ไม่ระบุชื่อ" หรืออีเมลปลอมคือการใช้แอปพลิเคชันเว็บฟรี

ข้อดีของการใช้แอปพลิเคชันดังกล่าวคือเราไม่จำเป็นต้องติดตั้งเครื่องมือใดๆ หรือรับชื่อโฮสต์ของเมลเซิร์ฟเวอร์ปลายทางของเรา

สิ่งที่เราจำเป็นต้องรู้คือชื่อผู้รับซึ่งเราต้องการ "ปลอมแปลง" ตัวตนของเขา

ฉันต้องประกาศว่าฉันไม่สามารถรับประกัน "การใช้งานอย่างปลอดภัย" ของไซต์ดังกล่าวได้ และการตัดสินใจใช้ไซต์ดังกล่าวถือเป็นความรับผิดชอบส่วนบุคคลของคุณ

ในภาพหน้าจอต่อไปนี้ เราจะเห็นตัวอย่างเครื่องมือบนเว็บชื่อ Emkei’s Fake Mailer ซึ่งเราสามารถใช้ในการจำลองอีเมลปลอมได้

แอปพลิเคชันบนเว็บเพิ่มเติมที่สามารถช่วยคุณส่งเมลแบบไม่ระบุชื่อ ได้แก่:

  • อีเมลที่ไม่ระบุชื่อ

จะตรวจสอบได้อย่างไรว่ากฎ Exchange Online ตรวจพบการโจมตีการปลอมแปลง

ในบทความก่อนหน้าในชุดบทความปัจจุบัน เราได้เรียนรู้วิธีสร้างกฎการขนส่ง Exchange Online ที่ต้องจัดการกับการโจมตีแบบปลอมแปลง

หัวข้อที่สำคัญอีกประการหนึ่งคือส่วนที่เราตรวจสอบว่ากฎการขนส่ง Exchange Online ที่เราสร้างขึ้นนั้นใช้งานได้จริง และจัดการเพื่อสกัดกั้น
ข้อความอีเมลปลอม

ตัวอย่างเช่น เราได้สร้างกฎอีเมลปลอมของ Exchange Online ที่ควรระบุอีเมลปลอมและลบอีเมลปลอมเพื่อเป็นการตอบกลับ

เพื่อให้สามารถตรวจสอบกฎ Exchange Online นี้ เราจะจำลองอีเมลปลอม จากนั้น เพื่อรับข้อมูลโดยละเอียดเกี่ยวกับการรับส่งอีเมลของข้อความอีเมลเฉพาะ เราจะใช้เครื่องมือ การติดตามข้อความ ของ Exchange Online

การติดตามข้อความ Exchange Online คือ “เครื่องมือการเรียกดู” ที่จะช่วยให้เราสามารถดูข้อมูลที่จัดเก็บไว้ในไฟล์บันทึกของ Exchange Online

การใช้การติดตามข้อความ Exchange Online

  • เข้าสู่ระบบอินเทอร์เฟซการจัดการ Exchange Online
  • บนแถบเมนูด้านซ้าย ให้เลือกเมนู - การรับส่งอีเมล
  • บนแถบเมนูด้านบน ให้เลือกเมนู - การติดตามข้อความ

ในสถานการณ์ของเรา เราต้องการสังเกตสิ่งที่เกิดขึ้นกับอีเมลปลอมที่ส่งไปยัง Bob@o365pilot.com

เพื่อให้สามารถติดตามข้อความอีเมลที่ส่งถึง Bob เราจะเลือกกรองผลลัพธ์โดยใช้ ผู้รับ: ตัวกรอง

เราจะเลือกที่อยู่อีเมลของ Bob และคลิกที่ปุ่ม add->

หากต้องการเปิดใช้งานการค้นหาข้อความติดตาม เราจะคลิกที่ปุ่ม ค้นหา

ในภาพหน้าจอต่อไปนี้ เราจะเห็นว่าข้อความอีเมล "ปลอมแปลง" ที่เราส่งไปยัง Bob@o365pilot.com ถูก "ดักจับ" โดยกฎการขนส่งของ Exchange Online และนั่น สถานะ
ของอีเมลคือ -ล้มเหลว

เนื่องจากเราต้องการได้รับข้อมูลโดยละเอียดเพิ่มเติมเกี่ยวกับ “สาเหตุ ” ที่นำไปสู่สถานะล้มเหลว เราจะคลิกสองครั้งที่แถวบันทึกและคำอธิบายแบบเต็มจะปรากฏขึ้น

ในภาพหน้าจอต่อไปนี้ เราจะเห็นการรับส่งอีเมลที่แน่นอน

  1. ข้อความอีเมลได้รับการยอมรับจาก Exchange Online
  2. ข้อความอีเมลถูก "จับคู่" กับกฎ Exchange Online เฉพาะ
  3. กฎอีเมลปลอมที่ "จับ" ข้อความอีเมล
  4. กฎอีเมลปลอม "การกระทำ" ได้รับการกำหนดค่าให้ลบข้อความอีเมลแทนการส่งข้อความอีเมลไปยังกล่องจดหมายของผู้รับ และด้วยเหตุนี้ สถานะจึงเป็น <ล้มเหลว

บทความถัดไปในชุดบทความปัจจุบัน

ในบทความถัดไป - รายงานอีเมลปลอมและส่งอีเมลเพื่อตรวจสอบใน Office 365|ส่วนที่ 12#12 เราจะตรวจสอบกระบวนการรายงานอีเมลปลอมและส่งอีเมลเพื่อตรวจสอบ

บทความที่เกี่ยวข้อง