Разобрал ситуацию, относительно фишинга в Яндекс.Почта.
Внутренние спам-фильтры отрабатывают классно X-Yandex-Spam: 4, но все же письмо попадает в ящики чем вызывают неподдельный интерес посмотреть "что это" такое. Сейчас покажу занятные детали.
Subject: =?windows-1251?B?x+D/4urgICMgIDgxNDg5OSDu8iAyMy4wOC4y?=
=?windows-1251?B?MDI0Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+?=
=?windows-1251?B?Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+?=
=?windows-1251?B?Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+?=
=?windows-1251?B?Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+?=
=?windows-1251?B?Pj4+Pj4+Pj4+Pj4+?=
Заголовок Subject закодирован в кодировке Windows-1251 с использованием Base64. Декодируем и наш результат:
Вы выиграли 814899 от 23.08.2024 >>>>>>>>>>>>>>>>>>>
указывает, что текст письма закодирован для систем которые используют кирилицу
а это довольно интересная ссылочка с Accelerated Mobile Pages - видимо автор письма нацелился именно на пользователей мобильного устройства.
Ревершу и вижу:
https://www.google.com/amp/s/ᵍuₑst.liₙk/Z9RОтличный способ маскировки ссылки для перенаправления на guest[.]link
И куда же без скрытого пикселя
Выводы:- спам-фильтры классные и реально работают, но письмо все равно доходит до получателя
- Base64 остается прекрасным способ обмана фильтров
- признаком массовой рассылки может быть наличие тегов X-Yandex-Forward: и наличие более двух кодировок в письме, например Windows-1251 и UTF-8
- поиск скрытых пикселей отличный маркер выявления подозрительных писем
- киберпреступники все больше акцентируют внимание при атаках на пользователей мобильных устройств
Кто любит форензику и имеет свой почтовый сервер можно использовать мое правило
rule Yandex_Phishing_Email_Detection {
meta:
description = "Detection of suspicious Yandex.Mail messages on specific indicators"
author = "
@cyberpoleshuk"
date = "2024-08-27"
version = "0.1"
strings:
$base64_subject = /Subject:\s*=\?[^?]+\?B\?[^?]+\?=/
$yandex_forward = "X-Yandex-Forward:"
$encoding_utf8 = "charset=UTF-8"
$encoding_windows1251 = "charset=windows-1251"
$hidden_pixel = /width:\s*1px;\s*height:\s*1px;/
condition:
$base64_subject or
$yandex_forward or
($encoding_utf8 and $encoding_windows1251) or
$hidden_pixel
}