relay hijacking

Relay hijacking to przejęcie serwera przekazującego pocztę w celu rozsyłania niechcianej korespondencji.

Na czym polega relay hijacking w poczcie elektronicznej

Relay hijacking oznacza przejęcie kontroli nad serwerem lub usługą przekazującą pocztę elektroniczną w taki sposób, aby napastnik mógł wykorzystać ją do wysyłania wiadomości do odbiorców, którzy nie są uprawnionymi użytkownikami tej infrastruktury. Najczęściej chodzi o nadużycie serwera SMTP skonfigurowanego jako otwarty przekaźnik, przejęcie konta pocztowego z prawem wysyłania albo wykorzystanie skradzionych danych uwierzytelniających do przesyłania dużej liczby komunikatów. Serwer przekazujący nie musi przechowywać skrzynek odbiorczych; wystarczy, że przyjmuje wiadomość od nadawcy i przekazuje ją do następnego serwera pocztowego.

W normalnym przepływie SMTP serwer przyjmuje pocztę dla własnych domen albo od uwierzytelnionych użytkowników i przekazuje ją dalej zgodnie z regułami routingu. Problem pojawia się wtedy, gdy można wysłać wiadomość z dowolnego adresu do dowolnej domeny bez poprawnego uwierzytelnienia lub bez ograniczenia do dozwolonych sieci. Taki serwer jest określany jako open relay. Samo użycie słowa „hijacking” wskazuje jednak szerzej na przejęcie funkcji przekazywania, a nie wyłącznie na błąd konfiguracji. Źródłem może być także podatna aplikacja, skompromitowany system operacyjny, wykradzione hasło lub niewłaściwie zabezpieczony panel administracyjny.

Jak napastnik wykorzystuje przejęty przekaźnik SMTP

Po uzyskaniu dostępu atakujący może generować wiadomości reklamowe, phishingowe, fałszywe powiadomienia o płatnościach albo komunikaty zawierające odsyłacze do złośliwych stron. Serwer relay często ułatwia takie działania, ponieważ wiadomości wychodzą z adresu IP należącego do organizacji, która wcześniej mogła mieć dobrą reputację. W nagłówkach poczty pozostają informacje o kolejnych serwerach SMTP, dlatego administratorzy mogą prześledzić trasę dostarczenia i ustalić, z którego hosta rozpoczęto nadużycie.

Typowy scenariusz obejmuje skanowanie Internetu w poszukiwaniu portu TCP 25, 465 lub 587 oraz próbę nawiązania sesji SMTP. Port 25 jest standardowo używany do transportu poczty między serwerami, natomiast port 587 służy zwykle do przesyłania wiadomości przez klienta pocztowego do serwera submission. Port 465 jest używany do SMTP przez TLS od początku połączenia, zgodnie z praktyką określaną jako implicit TLS. Sam numer portu nie przesądza jednak o podatności; kluczowe są wymagane uwierzytelnienie, reguły relayowania, szyfrowanie i kontrola adresów źródłowych.

Nadużycie może zostać zauważone przez gwałtowny wzrost liczby wiadomości wychodzących, nietypowe domeny odbiorców, zwiększenie kolejki pocztowej, wiele błędów dostarczenia oraz wpisy o logowaniu z nieznanych adresów IP. Częstym sygnałem jest również pojawienie się w logach poleceń SMTP takich jak AUTH, MAIL FROM i RCPT TO wykonywanych przez konto, które dotychczas wysyłało niewiele wiadomości. Znaczenie ma korelacja czasu logowania, adresu IP, użytego mechanizmu uwierzytelnienia i liczby zaakceptowanych odbiorców.

Kontrola dostępu i ślady pozostawiane w logach

Podstawową ochroną przed relay hijacking jest rozdzielenie dwóch funkcji: przyjmowania poczty dla własnych domen oraz przekazywania wiadomości od uprawnionych nadawców. Serwer powinien odrzucać próbę wysyłki do obcej domeny, jeśli klient nie przeszedł uwierzytelnienia albo nie pochodzi z jawnie dozwolonej sieci. Reguły te muszą być sprawdzane na etapie komendy RCPT TO, ponieważ dopiero wtedy serwer zna docelowego odbiorcę. Samo ograniczenie dostępu do panelu administracyjnego nie wystarcza, jeżeli usługa SMTP nadal pozwala na niekontrolowany relay.

Warto wymusić silne, unikatowe hasła, ograniczyć liczbę prób logowania, wyłączyć nieużywane konta i stosować wieloskładnikowe uwierzytelnianie wszędzie tam, gdzie wspiera je używane oprogramowanie. Dane SMTP nie powinny być przechowywane w publicznych repozytoriach, skryptach udostępnionych przez serwer WWW ani w plikach dostępnych dla nieuprzywilejowanych użytkowników. Po podejrzeniu przejęcia należy unieważnić aktywne sesje, zmienić hasła, sprawdzić reguły przekazywania i przejrzeć logi obejmujące co najmniej okres od pierwszych nietypowych zdarzeń.

Mechanizmy SPF, DKIM i DMARC ograniczają skutki podszywania się pod domenę, ale nie naprawiają otwartego przekaźnika. SPF opisuje dozwolone serwery wysyłające dla domeny, DKIM pozwala zweryfikować podpis kryptograficzny wiadomości, a DMARC określa sposób oceny zgodności domeny widocznej w polu From z wynikami SPF lub DKIM. Jeżeli napastnik wysyła z prawidłowo uwierzytelnionego konta, część wiadomości może przejść te kontrole, dlatego konieczne są także limity wysyłki, monitoring i szybkie reagowanie na anomalie.

Postępowanie po wykryciu nadużycia przekaźnika

W pierwszej kolejności należy ograniczyć możliwość dalszego wysyłania wiadomości, zachowując jednocześnie logi potrzebne do analizy. Można czasowo zablokować podejrzane konto, adres IP lub funkcję relayowania, a następnie sprawdzić kolejkę pocztową i usunąć wyłącznie wiadomości potwierdzone jako nieautoryzowane. Nie należy kasować całych logów ani reinstalować systemu przed zebraniem podstawowych dowodów, ponieważ utrudnia to ustalenie sposobu uzyskania dostępu. Analiza powinna objąć konfigurację SMTP, konta użytkowników, historię zmian, procesy uruchomione w systemie oraz pliki aplikacji odpowiedzialnej za wysyłkę.

Po odcięciu źródła nadużycia trzeba potwierdzić, że serwer odrzuca próbę przekazania wiadomości do obcej domeny bez uwierzytelnienia. Test powinien być wykonany z sieci, która nie jest zaufana, oraz z użyciem prawidłowego konta, aby sprawdzić osobno oba scenariusze. Następnie należy zweryfikować poprawność certyfikatów TLS, wymuszanie szyfrowania dla submission, limity liczby wiadomości i odbiorców oraz ustawienia DNS dotyczące SPF, DKIM i DMARC. Jeżeli adres IP trafił na listy blokad, usunięcie z nich powinno nastąpić dopiero po usunięciu przyczyny, inaczej reputacja nadawcy szybko ponownie się pogorszy.

W przypadku komputera użytkownika podejrzanego o wykradzenie danych SMTP przydatne jest sprawdzenie złośliwych rozszerzeń, programów uruchamianych wraz z systemem, zapisanych haseł i nietypowego ruchu sieciowego. Sama zmiana hasła na zainfekowanym urządzeniu może być niewystarczająca, jeżeli nowe dane zostaną ponownie przechwycone. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego w takim przypadku można skupić diagnostykę na stanie konkretnego urządzenia, bez utożsamiania problemu relay hijacking z awarią sprzętową.