Spamfilters missen e-mails met gevaarlijke Emotet-malware
Spamfilters hebben de nodige moeite met e-mails die de schadelijke Emotet-malware bevatten, zo stelt testlab Virus Bulletin op basis van eigen onderzoek naar zakelijke e-mailoplossingen. Naast virusscanners test het testlab ook maandelijks allerlei spamfilters.
In oktober zag onderzoeker Martijn Grooten van Virus Bulletin dat veel kwaadaardige e-mails de spamfilters wisten te omzeilen. Het ging om een derde van de zakelijke e-mailoplossingen. Verder onderzoek liet zien dat bijna alle gemiste kwaadaardige e-mails de Emotet-malware bleken te bevatten. Emotet wordt verspreid via Word-documenten met macro's. Het is een "modulaire malwarefamilie" die allerlei aanvullende malware op systemen kan installeren, zoals ransomware, maar ook wachtwoorden steelt en zelf zeer lastig te verwijderen is. De Duitse overheid noemde Emotet eerder nog de gevaarlijkste malware ter wereld.
Om ervoor te zorgen dat mensen de via e-mail verstuurde Word-documenten openen kan de malware meeliften op eerdere e-mails van al gemaakte slachtoffers om zo nieuwe slachtoffers te maken. Deze werkwijze maakt het lastiger voor spamfilters om de kwaadaardige berichten te stoppen. Bij de nieuwste spamberichten maakt Emotet gebruik van generieke berichten die ook lastig zijn te filteren. Daarnaast zijn de spamcampagnes waarmee Emotet wordt verspreid vrij klein. "Het versturen van miljoenen kopieën van hetzelfde bericht doet spammers meer kwaad dan goed", aldus Grooten.
Wat ook een belangrijke rol speelt is dat de spamberichten van gecompromitteerde mailservers worden verstuurd, waardoor de spammers in veel gevallen protocollen zoals Sender Policy Framework (SPF) en DomainKeys Identified Mail (DKIM) weten te omzeilen, gaat Grooten verder. SPF moet voorkomen dat iemand in naam van een organisatie een e-mail kan versturen en DKIM moet het onderweg aanpassen van e-mails voorkomen. Het volledig testrapport van oktober moet nog verschijnen. Het laatste rapport van september is wel online (pdf) te vinden.
En SPF, DKIM en DMARC zijn mechanismen die moeten vast stellen of een mail source geautoriseerd is om mail namens een domein te versturen. Dat zegt he-le-maal niet over de inhoud. Het stelt hooguit (in het geval van DKIM) vast dat de content na het verlaten van de originerende mailserver de inhoud niet is veranderd.
Daarvoor moet naar de inhoud gekeken worden. Predictive content analisys dus. Maar dan nog, dat gaat over de inhoud en opmaak van een boodschap. Nog steeds geen malware detectie.
Dat anti-spam appliances *meestat* ook anti-malware voorzieningen hebben, maakt niet ineens dat een antispam functie ook mallware kan detecteren.
Er staat ook nergens dat het hier om malware filters gaat. Malware wordt echter vaak als spam verstuurd. En omdat deze spam vaak vanaf gecompromitteerde servers verstuurd wordt, weet hij de spamchecks te omzeilen. Meer staat er niet. De rest is alleen een uitleg van de werking van Emotet malware.
Er staat ook nergens dat het hier om malware filters gaat. Malware wordt echter vaak als spam verstuurd. En omdat deze spam vaak vanaf gecompromitteerde servers verstuurd wordt, weet hij de spamchecks te omzeilen. Meer staat er niet. De rest is alleen een uitleg van de werking van Emotet malware.
Nee tegenwoordig wordt bijna altijd gekozen voor een versie in stages waardoor de emails opzich geen malware bevatten, maar een link (via macro of directe knop naar een download locatie).
En SPF, DKIM en DMARC zijn mechanismen die moeten vast stellen of een mail source geautoriseerd is om mail namens een domein te versturen. Dat zegt he-le-maal niet over de inhoud. Het stelt hooguit (in het geval van DKIM) vast dat de content na het verlaten van de originerende mailserver de inhoud niet is veranderd.
Daarvoor moet naar de inhoud gekeken worden. [...]
Dat is simpel beantwoord: Gewoon bouncen als de check niet klopt.
Omdat heel veel bedrijven hun configuratie niet op orde hebben, durven veel providers dit niet te bouncen in de angst correct bedoelde mail te bouncen. Maar reken maar dat bedrijven hun zaakjes wel op orde zullen houden als spf niet slechts voor een spamscore gebruikt wordt, maar echt de mail tegenhoud bij een falende check.
Spam is ongewenste mail.
Ik gok dat het wel de lading dekt.
Dat is simpel beantwoord: Gewoon bouncen als de check niet klopt.
Dat is simpel beantwoord: Gewoon bouncen als de check niet klopt.
ja, meel zonder @.... is lokaal only en hoeft dus geen SPF te checken (je vertouwd jezelf niet jezelf te mailen?). meel die niet lokaal is heeft achter de @ of een hostname of een domein naam waar een nette MX record (en dus het liefst ook een SPF record) voor gedefineerd is.
SPF (en dus ook de DMARC alignment check voor SPF) zijn kansloos bij spam die met een "mail from" veld zonder domeinnaam (zich bijv. voordoend als NDR) ontvangen wordt.
Hoezo kansloos? De SPF check is bedoeld om spoofing van een afzender te voorkomen. Als er geen afzender is, kan er per definitie geen gespoofde afzender zijn en is SPF ook niet van toepassing.
Als je SPF voor spam gebruikt kun je er voor kiezen dat alles zonder een positieve SPF check een hogere spamscore krijgt.
Zie de blacklist vergelijkingen.
luntrus
Hoezo kansloos? De SPF check is bedoeld om spoofing van een afzender te voorkomen. Als er geen afzender is, kan er per definitie geen gespoofde afzender zijn en is SPF ook niet van toepassing.
Het "mail from" (AKA envelope-from AKA return-path) veld, waar SPF op checkt, en dat de gebruiker alleen ziet als hij de headers inpecteert, kan daarbij leeg zijn (of iets als <postmaster> bevatten).
Conclusie: de hele riedel aan protocollen als SPF, DKIM, DomainKeys, DMARC en ARC geven een vals gevoel van veiligheid als een of meer computers in een afzenderdomein makwaremails (met bijv. Emotet) staan te spammen. Met het grote aantal BEC's (Business Email Compromise) is het m.i. verstandig om je af te vragen of de nadelen van die protocollen nog wel kleiner zijn dan de voordelen, JUIST als ze de spamscore VERLAGEN als alles OK is (bij BEC is dat natuurlijk zo).
Spam is vervelend en zal wellicht ietsje toenemen als je SPF etc. niet langer meeweegt in je spamfilter, maar ik zie nauwelijks nog spam met vervalste SPF etc. records voorbijkomen (de meeste spam wordt ofwel verzonden vanaf domeinen die geen SPF, DKIM en DMARC records in DNS publiceren, ofwel de spammers hebben juist alles netjes voor elkaar voor hun -meestal short-lived en wegwerp-- afzenderdomeinen).
Daarentegen kunnen BEC-mails met malware (of links naar malware) dramatische gevolgen hebben voor ontvangende organisaties.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
