Spam (blijft mogelijk) door misbruik envelope-from waarde

[Liberteh]

Goedeavond medetweakers!

Ik zit met een uitdaging bij mijn nieuwe werk. Een collega heeft onlangs een geïnfecteerde Word document geopend. Deze heeft - zo lijkt het - het e.e.a. buit gemaakt aan contactpersonen (Outlook).

Wat wij namelijk sindsdien merken is dat wij e-mails van collega's ontvangen met de welbekende vraag een betaling uit te voeren (in dit geval een factuur te voldoen). Deze spam is ook extern beland, waardoor ik zeker weet dat een stukje programmatuur ergens het e.e.a. uit heeft getrokken.

Het volgende gebeurd:

From: <e-mail adres van ons>
To: <e-mail adres welke bij ons bekend is>
Envelop-from: <willekeurig e-mail adres>
Verzenden vanaf: <legitieme SMTP server van dit willekeurige e-mail adres>

MTA's controleren de mechanismes (SPF/DMARC/DKIM) op de envelope-from waarde. De controle is dus 100% correct. Hierna wordt de e-mail dus gewoon doorgelaten.

Nou lees ik mij in en vertelt het internet mij dat het instellen van DMARC/DKIM (SPF hebben we al) het probleem zou oplossen. Ik kan dit echter technisch in mijn hoofd niet uitwerken: wanneer en waarom gaat de ontvangende MTA wél controle op ONS domein uitvoeren (en de boel rejecten wanneer het niet aan elkaar te koppelen is) wanneer dezelfde constructie in stand gehouden wordt?

Volgens mij zit ik mijn kop te breken over iets simpels of heb ik gelijk wanneer ik zeg dat wij (als domein eigenaar van het e-mail adres achter "From:") hier weinig in kunnen tegenhouden?

[Brahiewahiewa]

Liberteh schreef op dinsdag 2 oktober 2018 @ 18:20:
…
From: <e-mail adres van ons>
To: <e-mail adres welke bij ons bekend is>
Envelop-from: <willekeurig e-mail adres>
Verzenden vanaf: <legitieme SMTP server van dit willekeurige e-mail adres>

Dan is die legitieme SMTP server niet zo legitiem als jij denkt

[Jester-NL]

Ik ga sowieso mee met @Brahiewahiewa hierboven.

Instellen van DMARC / DKIM is in wezen niet heel veel werk. En omdat het nieuwe records zijn, kun je er vrijwel gelijk op testen.

[Niet_Jan_Jaap]

de DMARC check zal kijken of de envelope-from gelijk is aan de from (kijken waarop de SPF check is gedaan). Als dit niet gelijk is, zal de mailbox naar het DMARC record van het domein kijken om de policy te achterhalen (monitor / quarantine / reject). DMARC zal deze spoofing dus wel voorkomen.

het zetten van een DMARC record is technisch weinig werk. Hou er wel rekening mee dat je veel false positives kan krijgen, dus is het aan te raden eerst een tijd op monitoring te zetten.

[Voor 5% gewijzigd door Niet_Jan_Jaap op 03-10-2018 09:14]