O que é EchoSpoofing? Compreender as explorações de encaminhamento de correio eletrónico
por
Tempo de leitura: 4 min
Não é segredo que a autenticação de correio eletrónico pode ser bastante vulnerável. Isto é especialmente verdade quando as mensagens de correio eletrónico são reencaminhadas com cabeçalhos modificados, linhas de assunto alteradas ou anexos removidos. Estas pequenas alterações podem comprometer a assinatura DKIM.
Para resolver este problema, foram introduzidos vários Secure Email Gateways (SEGs). Estes SEGs podem resolver os problemas de autenticação de mensagens de correio eletrónico alteradas, autenticando-as novamente. Embora este método seja suficientemente bom para atenuar as falhas de autenticação, levanta novos riscos.
Infelizmente, foi detectada uma vulnerabilidade no serviço de retransmissão de correio eletrónico da Proofpoint, em março de 2024. Esta vulnerabilidade permitiu que vários actores maliciosos explorassem uma definição de configuração. Esta falha de encaminhamento de correio eletrónico permitiu que os atacantes enviassem milhões de mensagens falsas.
Neste artigo, ficará a saber tudo sobre o EchoSpoofing e a recente exploração de encaminhamento de correio eletrónico.
Takeaways de chaves
- As vulnerabilidades de autenticação de correio eletrónico podem ser exacerbadas por falhas de configuração nos serviços de retransmissão de correio eletrónico.
- A técnica EchoSpoofing permite que os atacantes explorem serviços de correio eletrónico fiáveis para enviar mensagens falsas.
- Um problema de configuração recente nos sistemas de retransmissão de correio eletrónico permitiu que agentes maliciosos se fizessem passar por domínios legítimos sem os filtros adequados.
- Mesmo com as medidas de segurança implementadas, as organizações devem manter-se vigilantes contra a evolução das ameaças baseadas no correio eletrónico.
- A implementação de políticas DMARC rigorosas pode ajudar a evitar a falsificação de identidade do domínio e melhorar a segurança do correio eletrónico.
Compreender a exploração de encaminhamento de correio eletrónico
Os agentes maliciosos encontraram uma forma de explorar uma vulnerabilidade nos serviços de retransmissão de correio eletrónico, uma definição de configuração que aceita mensagens de correio eletrónico de qualquer inquilino do Microsoft 365. Depois de receberem estas mensagens de correio eletrónico, estas são novamente autenticadas através da adição de uma assinatura DKIM nova e válida.
A falha nas definições de configuração permite que os criminosos falsifiquem qualquer nome de domínio. Isto permite-lhes enviar mensagens de correio eletrónico que parecem vir de fontes legítimas, numa série de campanhas de phishing denominadas "EchoSpoofing".
Proteja-se contra EchoSpoofing com PowerDMARC!
O que é EchoSpoofing?
O exploit foi batizado de "EchoSpoofing" pelo Gaurdio Labs. Trata-se de uma técnica através da qual os atacantes enviam mensagens de correio eletrónico a partir de servidores SMTP. Estes servidores SMTP estão alojados em servidores privados virtuais (VPS) e as mensagens enviadas passam facilmente pelas verificações de autenticação de correio eletrónico, incluindo SPF e DKIM. Estes e-mails de EchoSpoofing imitam e-mails legítimos de remetentes de confiança.
O Microsoft 365 permite que os emails sejam enviados a partir de qualquer domínio à escolha do utilizador. Embora notório por permitir que e-mails sejam enviados até mesmo de locatários de aparência suspeita, os hackers na exploração EchoSpoofing utilizaram essa falha para rotear mensagens de locatários do Office 365 controlados por invasores. Por exemplo, os clientes da Proofpoint que autorizavam o Microsoft 365 como um remetente legítimo, inadvertidamente se colocaram em apuros. Esses locatários do Office 365 controlados por invasores receberam um passe livre para retransmitir os emails de EchoSpoofing por meio de seu serviço de retransmissão com uma etiqueta de autenticação e assinaturas DKIM válidas.
Consequências do EchoSpoofing
Se é um utilizador do Microsoft 365 e utiliza Secure Email Gateways para bloquear emails maliciosos através de um sistema de retransmissão, deve ter cuidado, pois qualquer outro inquilino do Microsoft 365 pode potencialmente falsificar o seu domínio. Como a maioria desses SEGs não pode filtrar explicitamente locatários específicos do Office 365 e autoriza todos eles, se você definiu a Microsoft como um remetente legítimo - atores mal-intencionados podem facilmente se passar por seu domínio para enviar emails de phishing.
As mensagens de correio eletrónico falsificadas enviadas através deste sistema não são assinaladas como suspeitas, mesmo que passem a verificação verificação DMARCe aterram diretamente na caixa de entrada do destinatário.
A dimensão da exploração
Os ataques tiveram um alcance significativamente alargado.
Empresas visadas
O novo método "Ecospoofing" visava várias marcas bem conhecidas. Estas empresas incluem a Nike, a IBM, a Walt Disney, a Best Buy, entre outras.
Estratégias de resposta e de atenuação
Depois que o problema foi detectado, várias medidas para combater essa vulnerabilidade foram prontamente lançadas. Estas incluíam permitir que os clientes especificassem agora os inquilinos permitidos do Microsoft 365. Os clientes também tiveram a garantia de que, embora todos os sistemas de encaminhamento de correio eletrónico sejam vulneráveis até certo ponto, os dados dos clientes não foram expostos ou comprometidos durante os ataques.
Optando por uma segurança de e-mail completa com o PowerDMARC
A plataforma avançada de autenticação de e-mail alimentada por IA do PowerDMARC oferece segurança e visibilidade quando se trata da maioria das explorações e ameaças baseadas em e-mail. A nossa tecnologia de Threat Intelligence é capaz de fazer previsões baseadas em dados sobre padrões e tendências de ameaças, com uma equipa de especialistas a orientá-lo no reforço da sua postura de autenticação de e-mail.
As APIs detalhadas do PowerDMARC permitem que os clientes integrem perfeitamente a nossa plataforma com os seus sistemas de segurança existentes - proporcionando uma segurança melhorada!
Além disso, ajudamos os proprietários de domínios a mudar para políticas DMARC aplicadas, como "rejeitar", permitindo-lhes combater eficazmente os ataques de falsificação.
Palavras finais
A exploração EchoSpoofing destaca uma vulnerabilidade significativa nos sistemas de encaminhamento de correio eletrónico, provando que mesmo as soluções de segurança de confiança podem ter pontos cegos.
Os atacantes não são novos na utilização de configurações incorrectas nos sistemas de correio eletrónico para contornar as verificações de autenticação, lançando campanhas de phishing generalizadas. Apesar de terem sido tomadas medidas corretivas, este incidente sublinha a importância da segurança proactiva do correio eletrónico, apoiada por uma equipa de especialistas.
Para explorar estratégias de proteção para o seu nome de domínio e aplicar corretamente a autenticação do seu correio eletrónico contacte-nos hoje mesmo para falar com um dos nossos profissionais experientes.
Especialista em segurança de domínios e e-mails da PowerDMARC
Ahona é gerente de marketing da PowerDMARC, com mais de 5 anos de experiência em escrever sobre tópicos de segurança cibernética, especializada em segurança de domínio e e-mail. Ahona possui uma pós-graduação em Jornalismo e Comunicação, solidificando sua carreira no setor de segurança desde 2019.
Últimos posts de Ahona Rudra (ver todos)
- Configuração do DKIM: Guia passo a passo para configurar o DKIM para segurança de e-mail (2025) - 31 de março de 2025
- PowerDMARC é reconhecido como líder de rede para DMARC no G2 Spring Reports 2025 - 26 de março de 2025
- Como identificar e-mails falsos de fraude de confirmação de encomenda e proteger-se - 25 de março de 2025
