fałszywy nadawca

Fałszywy nadawca to sfałszowana tożsamość osoby lub organizacji widoczna w polu nadawcy wiadomości.

Mechanika protokołu SMTP i separacja nagłówków

Podstawową przyczyną istnienia zjawiska fałszowania tożsamości w komunikacji elektronicznej jest specyfika wczesnych protokołów sieciowych, w szczególności Simple Mail Transfer Protocol (SMTP), zdefiniowanego pierwotnie w dokumencie RFC 821, a obecnie standaryzowanego przez RFC 5321. Protokół ten w swojej bazowej formie nie zawiera wbudowanych mechanizmów kryptograficznego uwierzytelniania nadawcy. Transakcja pocztowa opiera się na zestawie komend tekstowych przesyłanych pomiędzy serwerami lub między klientem a serwerem. Z technicznego punktu widzenia proces dostarczania wiadomości składa się z dwóch niezależnych warstw: koperty transmisyjnej, która jest używana przez serwery Message Transfer Agent (MTA) do rutingu przesyłki, oraz samej zawartości bloku danych, definiującej nagłówki i treść właściwą. Podczas nawiązywania połączenia, maszyna wysyłająca deklaruje adres zwrotny za pomocą komendy MAIL FROM. Jest to adres kopertowy (Return-Path), na który trafiają ewentualne komunikaty o błędach dostarczenia na poziomie warstwy transportowej. Następnie, po przejściu do fazy przesyłania danych (komenda DATA), nadawca przekazuje blok nagłówków zdefiniowanych w standardzie RFC 5322, w tym nagłówek From. Oryginalny standard protokołu SMTP nie wymusza weryfikacji spójności między adresem podanym w komendzie MAIL FROM a adresem widniejącym w nagłówku From, który jest docelowo odczytywany i wyświetlany przez program pocztowy odbiorcy. W rezultacie serwer pocztowy bez skonfigurowanych restrykcji weryfikujących przyjmuje każdą poprawnie sformatowaną wiadomość sieciową. Atakujący wykorzystują tę architekturę, zestawiając połączenie z serwerem typu open relay lub własną, specjalnie przygotowaną infrastrukturą wysyłkową, po czym wpisują w pole From dowolny adres e-mail, imitując banki, instytucje rządowe lub znane organizacje handlowe. Zwykłe programy pocztowe w fazie renderowania interfejsu graficznego dla użytkownika analizują wyłącznie zawartość bloku DATA, ignorując ukryty adres kopertowy. Taka logika działania oprogramowania klienckiego bezpośrednio ułatwia wprowadzanie odbiorcy w błąd i stanowi fundament dla ataków opartych na inżynierii społecznej.

Techniki weryfikacji tożsamości w infrastrukturze pocztowej oraz wektory ataków

W odpowiedzi na strukturalne braki bezpieczeństwa w protokole SMTP, organizacje standaryzujące wprowadziły warstwowy system mechanizmów weryfikacyjnych opartych na systemie nazw domenowych (DNS). Pierwszym krokiem naprawczym jest Sender Policy Framework (SPF), który pozwala administratorowi domeny na dokładne zdefiniowanie listy adresów IP uprawnionych do wysyłania poczty w jej imieniu poprzez publikację dedykowanego rekordu TXT w strefie DNS. Uzupełnieniem tej metody jest DomainKeys Identified Mail (DKIM), który implementuje kryptografię asymetryczną bezpośrednio na serwerach wysyłających. Serwer pocztowy oblicza matematyczny skrót dla wybranych nagłówków oraz treści wiadomości, a następnie podpisuje go własnym kluczem prywatnym. Serwer odbiorcy pobiera klucz publiczny z rekordu DNS domeny deklarowanej jako nadawca i wykonuje operację weryfikacji, co zapewnia autentyczność pochodzenia oraz nienaruszalność przesyłanych pakietów danych. Architekturę tę spina protokół Domain-based Message Authentication, Reporting, and Conformance (DMARC). Sprawdza on zjawisko dopasowania (alignment), weryfikując, czy domena pomyślnie uwierzytelniona przez mechanizmy SPF oraz DKIM odpowiada wprost domenie widocznej w nagłówku From. DMARC nakazuje również serwerom odbiorczym określone zachowanie w przypadku wykrycia nieprawidłowości, od kwarantanny po całkowite odrzucenie połączenia. Mimo implementacji tych standardów przez operatorów globalnych platform pocztowych, napastnicy omijają je za pomocą technik niezależnych od uwierzytelniania samej domeny. Zamiast bezpośredniego fałszowania całego adresu, modyfikowane jest wyłącznie pole nazwy wyświetlanej (Display Name). Format zapisu nagłówka to: From: "Urząd Skarbowy" <losowy_ciąg_znaków@serwer_komercyjny.com>. Interfejsy w aplikacjach mobilnych często maskują drugą część tego łańcucha ze względu na ograniczoną przestrzeń na ekranie. Równolegle stosowane są ataki wykorzystujące międzynarodowe nazwy domen (IDN). Sprawcy rejestrują adresy zawierające znaki z cyrylicy lub innych alfabetów, które na poziomie renderowania fontu są wizualnie identyczne z literami łacińskimi. Po translacji do standardu Punycode jest to zupełnie obca infrastruktura serwerowa, ale dla ofiary interfejs programu pocztowego przedstawia ciąg znaków nieodróżnialny od oryginału.

Analiza techniczna nagłówków wiadomości i identyfikacja anomalii

Precyzyjna ocena wiarygodności otrzymanego strumienia danych opiera się na analizie surowego kodu źródłowego nagłówków wiadomości. Podczas dystrybucji e-maila w internecie, każdy węzeł transmisyjny, przez który przepływa pakiet, dodaje na samym szczycie struktury własny nagłówek Received. Odczytywanie tych metadanych w kolejności chronologicznej, od najniższego wpisu do najwyższego, umożliwia prześledzenie pełnej trasy rutingu IP. Anomalie są wykrywalne w momencie, gdy publiczny adres IP pierwszego serwera MTA pochodzi z bloku przypisanego do tanich serwerów VPS w rejonach o niskich standardach weryfikacji abonenta, lub wprost z sieci zainfekowanych hostów domowych. Bardzo istotny jest nagłówek Return-Path. W przypadku braku zaawansowanego ataku typu spear-phishing, adres zwrotny widoczny w Return-Path najczęściej różni się od domeny deklarowanej w polu From. Serwery przyjmujące ruch od klientów zewnętrznych, o ile implementują nowoczesne filtry, wstrzykują do wiadomości nagłówek Authentication-Results. Zawiera on surowy log operacji kryptograficznych i zapytań DNS, prezentując wyniki parametrów w formacie jednoznacznym, na przykład: spf=softfail, dkim=neutral, dmarc=fail. Kolejnym wektorem technicznym wykorzystywanym do modyfikacji przepływu komunikacji jest nadużywanie nagłówka Reply-To. Specyfikacja RFC dopuszcza sytuację, w której klient pocztowy po kliknięciu przycisku odpowiedzi kieruje pakiet na inny adres niż ten, z którego wiadomość pierwotnie przyszła. Choć na poziomie korporacyjnym wykorzystuje się to przy zautomatyzowanych systemach biletowania, napastnicy definiują w tym polu kontrolowaną przez siebie skrzynkę odbiorczą. Jeśli ofiara ulegnie presji psychologicznej, program pocztowy wygeneruje nową wiadomość i prześle wrażliwe dane na serwer przestępcy. Warto podkreślić, że zaawansowane filtry heurystyczne oceniają również reputację całych klas adresowych. Jeśli złośliwa wiadomość o spreparowanej treści zostanie wysłana z legalnego, przejętego konta e-mail należącego do innej firmy, przejdzie ona pozytywnie testy SPF i DKIM, stając się wyzwaniem dla pasywnych skanerów antyspamowych, które w analizie wagowej priorytetyzują poprawność sygnatur kryptograficznych nad samą treść komunikatu.

Skutki infekcji złośliwym kodem a kompetencje lokalnego punktu serwisowego

Problematyka generowania wiadomości ze sfałszowanym adresem bazuje na manipulacji protokołami sieciowymi oraz braku restrykcyjnych polis SPF/DMARC po stronie administratorów docelowych serwerów. Mimo to, użytkownicy końcowi regularnie ponoszą konsekwencje uruchomienia ładunku (payloadu) dostarczonego w załącznikach takich wiadomości, co prowadzi do konieczności interwencji techników naprawczych. Zazwyczaj payload to skrypt w języku VBA zaszyty w dokumencie pakietu biurowego lub zaciemniony plik wykonywalny pełniący funkcję pobieracza (downloader). Jego egzekucja w środowisku systemu operacyjnego inicjuje szyfrowanie struktury plików użytkownika poprzez oprogramowanie typu ransomware. Warszawskie Pogotowie Komputerowe w takich przypadkach realizuje procedury obejmujące głębokie formatowanie nośników półprzewodnikowych i magnetycznych, reinicjalizację systemu Windows lub Linux, przywracanie spójności logicznej tablicy partycji oraz instalację zaufanego oprogramowania na czystym sprzęcie. Wykonywany jest również podstawowy odzysk danych z nieszyfrowanych kopii w tle (Shadow Copies) lub ze struktur dyskowych pominiętych przez algorytm szyfrujący. Współczesne złośliwe oprogramowanie rzadko celuje w fizyczną destrukcję podzespołów. Zgłoszenia serwisowe dotyczące sprzętu rzekomo uszkodzonego w wyniku odebrania fałszywego e-maila to dziś rzadkość; dawne wirusy, które bezpośrednio nadpisywały oprogramowanie układowe płyt głównych czy manipulowały częstotliwością odświeżania monitorów w celu wywołania awarii elektrycznej, są w obecnych ekosystemach sprzętowych niespotykane. Jedynym realnym fizycznym zagrożeniem wynikającym z infekcji jest awaria lokalnego nośnika danych, który będąc już na skraju użyteczności (np. uszkodzone klastry na dysku HDD lub niski wskaźnik TBW dla budżetowych SSD), ulega mechanicznemu uszkodzeniu pod wpływem wielogodzinnego, ciągłego obciążenia I/O podczas wymuszonego procesu szyfrowania. W takiej sytuacji naprawa obejmuje fizyczną wymianę uszkodzonego dysku, na co serwis posiada odpowiednie zaplecze części i diagnostyki.