电子邮件往往是网络犯罪分子发动时的首选，因为它很容易被利用。与重在处理能力的暴力攻击或需要高水平技能的更复杂的方法不同，域名欺骗可以像写一封假装是别人的电子邮件一样容易。在很多情况下，这个 "别人 "是人们赖以工作的一个主要软件服务平台。

这就是2020年4月15日至30日期间发生的事情，当时我们PowerDMARC的安全分析师发现了一波针对中东地区主要保险公司的新的钓鱼邮件。这次攻击只是最近在Covid-19危机期间增加的网络钓鱼和欺骗案件中的一个。早在2020年2月，另一个重大的网络钓鱼骗局竟然冒充世界卫生组织，向成千上万的人发送电子邮件，要求他们为冠状病毒救援捐款。

保险公司

在最近的这一系列事件中，微软的Office 365服务的用户收到了似乎是关于其用户账户状态的常规更新邮件。这些邮件来自他们组织自己的域名，要求用户重新设置密码或点击链接查看待定通知。

我们已经汇编了一份我们观察到的一些正在使用的电子邮件标题的清单。

微软账户异常登录活动
您的电子邮件 [email protected]* 门户网站上有(3)条等待发送的信息 !
[email protected] 你有待处理的微软Office UNSYNC消息
[email protected] 的重新激活摘要通知。

*为保护用户隐私，账户信息被更改

你也可以查看一个发送至保险公司的欺骗性电子邮件中使用的邮件标题样本。

收到：来自[恶意的_ip] (helo=恶意域名)

id 1jK7RC-000uju-6x

for [email protected]; Thu, 02 Apr 2020 23:31:46 +0200

DKIM-Signature: v=1; a=rsa-sha256; q=dns/txt; c=relaxed/relaxed;

收到：来自 [xxxx] (port=58502 helo=xxxxx)。

通过恶意域名使用esmtpsa (TLSv1.2:ECDHE-RSA-AES2 56-gcm-sha384:256)

来自。"微软账户团队"

致。 [email protected]

题目：微软办公室通知[email protected] 在 4/1/2020 23:46 的Microsoft Office通知书

日期：2020年4月2日 22:31:45 +0100

Message-ID: <[email protected]>

MIME-Version: 1.0

Content-Type: text/html;

charset="utf-8"。

Content-Transfer-Encoding: quoted-printable

X-AntiAbuse:这个标题是为了跟踪滥用情况而添加的，请在任何滥用报告中包括这个标题。

X-AntiAbuse:主要主机名 - 恶意域名

X-AntiAbuse:原有域名 - domain.com

X-AntiAbuse:发起人/呼叫者UID/GID - [47 12] / [47 12] 。

X-AntiAbuse:发件人地址 域名 - domain.com

X-Get-Message-Sender-Via: malicious_domain: authenticated_id: [email protected]_domain

X-Authenticated-Sender: malicious_domain: [email protected]_domain

X-Source。

X-Source-Args:

X-Source-Dir:

Received-SPF: fail ( domain.com的域名没有指定 malicious_ip_address 作为允许的发件人） client-ip=malicious_ip_address ; envelope-from=[email protected]; helo=恶意域名;

X-SPF-Result: domain.com的域名不指定。 malicious_ip_address 为允许的发件人

X-Sender-Warning:反向DNS查询失败的 恶意的ip_address (失败)

X-DKIM-Status: none / / domain.com / / /

X-DKIM-Status: pass / / 恶意域名 / 恶意域名/ / 默认

我们的安全运营中心追踪到电子邮件链接到针对微软Office 365用户的钓鱼网址。这些URL重定向到世界各地不同地点的被攻击网站。

只要看一下这些电子邮件的标题，就不可能看出它们是由某人假冒你的组织的域名发送的。我们已经习惯了源源不断的工作或账户相关的电子邮件，提示我们登录各种在线服务，就像Office 365。域名欺骗利用了这一点，使他们的假的、恶意的电子邮件与真正的电子邮件无法区分。如果不对电子邮件进行彻底的分析，几乎没有办法知道它是否来自一个可信赖的来源。而每天都有几十封邮件进来，没有人有时间仔细检查每一封。唯一的解决办法是采用一种认证机制，检查所有从你的域名发出的电子邮件，并只阻止那些由未经授权的人发出的电子邮件。