T1684.002: 电子邮件欺骗

摘要

攻击者可能通过修改相关电子邮件标头的值来伪造（或欺骗）发件人的身份，以便在虚假借口下与受害者建立联系。(Citation: Proofpoint TA427 April 2024) 除了实际的电子邮件内容外，电子邮件标头（如包含发件人电子邮件地址的 FROM 标头）也可能被修改。当电子邮件出现在受害者收件箱中时，电子邮件客户端会显示这些标头，这可能导致被修改的电子邮件看起来像是来自被冒充的实体。 企业环境可以使用基于域的消息身份验证、报告和一致性（DMARC）作为电子邮件身份验证协议，它引用发件人策略框架（SPF）和域名密钥识别邮件（DKIM）配置的结果。SPF 和 DKIM 在 DNS 中单独配置：SPF 验证发件服务器是否被授权代表该域，而 DKIM 使用数字签名验证电子邮件完整性和域身份验证。两者共同验证电子邮件的真实性，并指定接收服务器应如何处理身份验证失败。在没有强制身份验证的情况下，攻击者可能通过使用原本无法通过的篡改标头来破坏身份验证检查的完整性。(Citation: Cloudflare DMARC, DKIM, and SPF)(Citation: DMARC-overview)(Citation: Proofpoint-DMARC) 较弱或缺失的 DMARC 策略的一个示例是 `v=DMARC1; p=none; fo=1;`。`p=none` 表示不应采取任何操作，因此即使电子邮件未通过身份验证检查（即 SPF 和/或 DKIM 失败），也不会发生任何过滤操作。当 DMARC 策略指示不采取任何操作时，该电子邮件仍将被投递到受害者的收件箱。(Citation: ic3-dprk) 攻击者滥用了较弱或缺失的 DMARC 策略来规避身份验证检查并掩盖社会工程企图。攻击者可以修改电子邮件标头以包含带有虚假用户名的合法域名，或通过[伪装](https://attack.mitre.org/techniques/T1684/001)冒充合法用户进行[网络钓鱼](https://attack.mitre.org/techniques/T1566)。此外，攻击者可能滥用 Microsoft 365 的 Direct Send 功能，通过使用打印机等内部设备在未经身份验证的情况下发送电子邮件来冒充内部用户。(Citation: Barnea DirectSend)