¿Qué está pasando en lo que parece ser un ataque que verifica?

Question

¿Qué está pasando en lo que parece ser un ataque que verifica?

#1 de TerrorBite (6 votos)
#2 de Steffen Ullrich (4 votos)
#3 de Damon Johnstone (0 votos)

0

Recibí un correo electrónico (texto y fuente a continuación), que parece socialmente como phishing pero técnicamente parece que se revisará. Mi mejor conjetura es que Unicode se ha utilizado para copiar nombres de dominio.

El texto de la página web es:

Acción requerida: su cuenta de Google está deshabilitada temporalmente
  Hola,   Hemos detectado una actividad inusual en su cuenta de Google [email protected] y la hemos bloqueado para proteger su información.


Inicie sesión en su cuenta o en cualquier servicio de Google lo antes posible para reactivar su cuenta.

Use la Comprobación de seguridad para verificar y mejorar la seguridad de su cuenta.


El equipo de cuentas de Google

Este correo electrónico no puede recibir respuestas. Para obtener más información, visite el Centro de ayuda de cuentas de Google.

Recibió este anuncio de servicio de correo electrónico obligatorio para actualizarlo sobre cambios importantes en su producto o cuenta de Google.

© 2017 Google Inc., 1600 Amphitheater Parkway, Mountain View, CA 94043, EE. UU.

La fuente es:

Received-SPF: pass (google.com: domain of srs0=jfi5=ai=gaia.bounces.google.com=3vxqxwqgtaoirs-vitpceggsyrxw.ksskpi.gsq@bounce2.pobox.com designates 64.147.108.55 as permitted sender) client-ip=64.147.108.55;
MIME-Version: 1.0
Date: Thu, 7 Sep 2017 16:56:14 +0000 (UTC)
Feedback-ID: 68:account-notifier
Message-ID: 
Subject: Action required: Your Google Account is temporarily disabled
From: Google 
To: [email protected]
Content-Type: multipart/alternative; boundary="94eb2c0762b0ec2da405589c58ad"

--94eb2c0762b0ec2da405589c58ad
Content-Type: text/plain; charset="UTF-8"; format=flowed; delsp=yes
Content-Transfer-Encoding: base64
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--94eb2c0762b0ec2da405589c58ad
Content-Type: text/html; charset="UTF-8"
Content-Transfer-Encoding: quoted-printable

@media s=
creen and (min-width: 600px) {.v2sp {padding: 6px 34px 0px;}}=
Action required: Your Google Account is temporarily disab=
led=
Hi,We=E2=80=99=
ve detected unusual activity in your Google Account jonathan.hayward@pob=
ox.com and locked it to protect your information.

1. Sign in to your account or to any Google ser=
vice as soon as possible, to reactivate your account.
2. Use the Security Checkup to verify=
 and improve your account=E2=80=99s security.The Google Accounts=
 teamThis email can't receive replies. For more in=
formation, visit the Google Accounts Help Center.You received this mandatory email service announcement to=
 update you about important changes to your Google product or account.=
© 2017 Google Inc., 1600 Amphitheatre Parkway, Mountain View=
, CA 94043, USAet:68
--94eb2c0762b0ec2da405589c58ad--

¿Cómo, además de los errores sociales básicos en el extremo del atacante, puedo reconocer el phishing?

--UPDATE--

Comencé a escribir la nota a continuación como un comentario a una respuesta, luego me di cuenta de que debería haber puesto esto en la pregunta desde el principio. Yo escribí:

Un comentario que probablemente debería haber agregado: tengo una dirección de correo electrónico principal, [email protected], que puede enviar correos electrónicos a través de varias direcciones, incluido el envío de correos electrónicos de jonathan. [email protected] iniciando sesión en servidores pobox. La segunda dirección no tiene una cuenta de Gmail separada, solo un pasaporte para ingresar a pobox.com y enviar correos electrónicos, si así lo desea. Leí el correo electrónico citado de la primera dirección, que no parece alterado de ninguna manera.

Y más específicamente, he enviado correos electrónicos de prueba desde y hacia [email protected]. Todos ellos han pasado sin problemas.

phishing

pregunta JonathanHayward 08.09.2017 - 00:15

fuente

3 respuestas

Lea otras preguntas en las etiquetas phishing

¿Sería más seguro imponer "al menos una mayúscula" o imponer "al menos una letra (en cualquier caso)" explicación de la inyección SQL

score 6 · Answer 1

La primera indicación de que este no es un correo electrónico de suplantación de identidad es que no hay un enlace incluido, ni instrucciones para navegar a un dominio o URL específico. El correo electrónico solo le indica que inicie sesión en su cuenta, lo que hará a través de una URL que ya sabe que es confiable.

Al mirar los encabezados, el servidor receptor ha agregado estos:

Authentication-Results: mx.google.com; dkim=pass [email protected] header.s=20161025 header.b=f6IaG5Yo; spf=pass (google.com: domain of srs0=jfi5=ai=gaia.bounces.google.com=3vxqxwqgtaoirs-vitpceggsyrxw.ksskpi.gsq@bounce2.pobox.com designates 64.147.108.55 as permitted sender) smtp.mailfrom=SRS0=jFi5=AI=gaia.bounces.google.com=3VXqxWQgTAOIRS-VITPcEGGSYRXW.KSSKPI.GSQ@bounce2.pobox.com; dmarc=pass (p=REJECT sp=REJECT dis=NONE) header.from=accounts.google.com

Esto indica que el servidor receptor mx.google.com ha validado que el remitente es quien dice ser, pasando las comprobaciones de SPF y DKIM (según lo indicado por spf=pass y dkim=pass ).

Además, este encabezado contiene header.from=accounts.google.com , y nos dice que cuando el servidor de recepción de Google recibió este correo electrónico, el encabezado From contenía una dirección en accounts.google.com .

Por el motivo que sea, Gmail parece haber cambiado este encabezado para simplemente leer Google , probablemente para indicar al usuario que el propio Google ha confirmado que lo envía.

Conclusión: el correo electrónico es legítimo.

score 4 · Answer 2

Es difícil saber si el correo es falso, pero hay algunas cosas extrañas en él, que pueden deberse a la forma en que proporcionó el código fuente del correo:

La parte HTML reclama ser UTF-8 imprimible con comillas y, por lo tanto, no debe contener ningún carácter no ASCII sin codificar. Pero, lo que proporcionaste contiene un '©' claro que debería estar codificado.
La firma DKIM no coincide con el cuerpo del correo. Pero, de nuevo, esto podría ser un problema de cómo proporcionó la fuente del correo.
No hay un ID de mensaje dado (es decir, vacío). Nuevamente, esto podría ser un problema por la forma en que proporcionó el código fuente
Similarmente, no hay correo electrónico en el encabezado "De: .." sino solo "Google". Dado que otros encabezados afirman tener una validación de DMARC exitosa, esto no debería ser posible ya que DMARC requiere un encabezado De válido que debe coincidir con el dominio de la firma DKIM.

Mi opinión es que en realidad no proporciona el código fuente completo y exacto del correo para su validación, ya sea porque ha intentado eliminar cierta información o por la forma en que esta fuente le fue proporcionada desde el programa de correo. tu usas. En este caso, la fuente no es de mucha utilidad para un análisis más detallado.

score 0 · Answer 3

De: Google parece sospechoso en este caso. El correo electrónico legítimo tendrá algún tipo de dirección o dirección de correo electrónico, incluso si es un noreply @.

Sin embargo, algunos correos electrónicos de phishing están especialmente bien diseñados, por lo que el consejo que siempre doy a las personas es que si recibe un correo electrónico con un enlace del cual no está seguro, tampoco:

Vaya al sitio de la organización que dice que el correo electrónico es suyo. Al iniciar la comunicación, usted sabe con quién está hablando, en lugar de arriesgarse a un vínculo poco fiable en un correo electrónico. En este caso, sabrá rápidamente si su cuenta de Google está bloqueada.
Póngase en contacto con el proveedor. Difícil cuando es google, pero si fuera un banco, por ejemplo, podrían decirte si el correo electrónico era legítimo.

Espero que ayude.