Che cosa sta succedendo in quello che sembra un attacco che viene estratto?

Question

Che cosa sta succedendo in quello che sembra un attacco che viene estratto?

#1 da (6 voti)
#2 da (4 voti)
#3 da (0 voti)

0

Ho ricevuto un'email (testo e fonte di seguito), che sembra socialmente simile al phishing, ma sembra tecnicamente come verrà verificata. La mia ipotesi migliore è che Unicode sia stato usato per copiare i nomi di dominio.

Il testo della pagina web è:

Action required: Your Google Account is temporarily disabled
Hi, We’ve detected unusual activity in your Google Account [email protected] and locked it to protect your information.

Sign in to your account or to any Google service as soon as possible, to reactivate your account.

Use the Security Checkup to verify and improve your account’s security.

The Google Accounts team

This email can't receive replies. For more information, visit the Google Accounts Help Center.

You received this mandatory email service announcement to update you about important changes to your Google product or account.

© 2017 Google Inc., 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA

La fonte è:

Received-SPF: pass (google.com: domain of srs0=jfi5=ai=gaia.bounces.google.com=3vxqxwqgtaoirs-vitpceggsyrxw.ksskpi.gsq@bounce2.pobox.com designates 64.147.108.55 as permitted sender) client-ip=64.147.108.55;
MIME-Version: 1.0
Date: Thu, 7 Sep 2017 16:56:14 +0000 (UTC)
Feedback-ID: 68:account-notifier
Message-ID: 
Subject: Action required: Your Google Account is temporarily disabled
From: Google 
To: [email protected]
Content-Type: multipart/alternative; boundary="94eb2c0762b0ec2da405589c58ad"

--94eb2c0762b0ec2da405589c58ad
Content-Type: text/plain; charset="UTF-8"; format=flowed; delsp=yes
Content-Transfer-Encoding: base64
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--94eb2c0762b0ec2da405589c58ad
Content-Type: text/html; charset="UTF-8"
Content-Transfer-Encoding: quoted-printable

@media s=
creen and (min-width: 600px) {.v2sp {padding: 6px 34px 0px;}}=
Action required: Your Google Account is temporarily disab=
led=
Hi,We=E2=80=99=
ve detected unusual activity in your Google Account jonathan.hayward@pob=
ox.com and locked it to protect your information.

1. Sign in to your account or to any Google ser=
vice as soon as possible, to reactivate your account.
2. Use the Security Checkup to verify=
 and improve your account=E2=80=99s security.The Google Accounts=
 teamThis email can't receive replies. For more in=
formation, visit the Google Accounts Help Center.You received this mandatory email service announcement to=
 update you about important changes to your Google product or account.=
© 2017 Google Inc., 1600 Amphitheatre Parkway, Mountain View=
, CA 94043, USAet:68
--94eb2c0762b0ec2da405589c58ad--

Come posso riconoscere il phishing?

, oltre agli errori sociali di base sulla fine dell'attaccante

- UPDATE -

Ho iniziato a scrivere la nota sotto come commento a una risposta, poi ho capito che avrei dovuto inserire questo nella domanda dall'inizio. Ho scritto:

Un commento che probabilmente avrei dovuto aggiungere: ho un indirizzo email principale, [email protected], che può inviare email attraverso diversi indirizzi, incluso l'invio di email da jonathan. [email protected] accedendo ai server pobox. Il secondo indirizzo non ha un account Gmail separato, solo un passaporto per entrare in pobox.com e inviare e-mail, se lo desideri. Ho letto l'e-mail citata dal primo indirizzo, che non sembra compromessa in alcun modo.

E più precisamente, ho inviato email di prova da e verso [email protected]. Tutti loro sono passati senza incidenti.

phishing

posta JonathanHayward 08.09.2017 - 00:15

fonte

3 risposte

Leggi altre domande sui tag phishing

Il mio registrar di domini sta memorizzando la mia password in chiaro? [chiuso] Perché il filesystem di Linux è considerato DAC e non MAC

score 6 · Answer 1

La prima indicazione che questa non è un'e-mail di phishing è che non è incluso alcun collegamento, né ci sono istruzioni per navigare verso un dominio o URL specifico. L'email ti indirizza solo al tuo account, che eseguirai tramite un URL che sai già essere affidabile.

Esaminando le intestazioni, il server ricevente ha aggiunto queste:

Authentication-Results: mx.google.com; dkim=pass [email protected] header.s=20161025 header.b=f6IaG5Yo; spf=pass (google.com: domain of srs0=jfi5=ai=gaia.bounces.google.com=3vxqxwqgtaoirs-vitpceggsyrxw.ksskpi.gsq@bounce2.pobox.com designates 64.147.108.55 as permitted sender) smtp.mailfrom=SRS0=jFi5=AI=gaia.bounces.google.com=3VXqxWQgTAOIRS-VITPcEGGSYRXW.KSSKPI.GSQ@bounce2.pobox.com; dmarc=pass (p=REJECT sp=REJECT dis=NONE) header.from=accounts.google.com

Questo indica che il server ricevente mx.google.com ha convalidato che il mittente è chi dichiara di essere, passando i controlli SPF e DKIM (come indicato da spf=pass e dkim=pass ).

Inoltre, questa intestazione contiene header.from=accounts.google.com , che ci dice che quando il server ricevente di Google ha ricevuto questa email, l'intestazione From conteneva un indirizzo a accounts.google.com .

Per qualsiasi ragione, Gmail sembra aver cambiato questa intestazione per leggere semplicemente Google , presumibilmente per indicare all'utente che è stato confermato che verrà inviato da Google stesso.

Conclusione: l'e-mail è legittima.

score 4 · Answer 2

È difficile dire se la posta è falsa ma ci sono alcune cose strane - che potrebbero o potrebbero essere dovute al modo in cui hai fornito il codice sorgente della posta:

La parte HTML afferma di essere stampata in virgola mobile UTF-8 e quindi non dovrebbe contenere caratteri non ASCII non codificati. Ma ciò che hai fornito contiene un chiaro '©' che dovrebbe essere codificato.
La firma DKIM non corrisponde al corpo del messaggio. Ma ancora, questo potrebbe essere un problema di come hai fornito l'origine della posta.
Non è presente alcun ID messaggio (vale a dire vuoto). Di nuovo, questo potrebbe essere un problema con il modo in cui hai fornito il codice sorgente
Simile non ci sono email nell'intestazione "Da: .." ma solo "Google". Dato che altre intestazioni affermano di avere una validazione DMARC riuscita, ciò non dovrebbe essere possibile poiché DMARC richiede un'intestazione From valida che deve corrispondere al dominio della firma DKIM.

La mia ipotesi è che in realtà non fornisci il codice sorgente completo ed esatto della posta per la convalida, sia perché hai provato a rimuovere alcune informazioni sia perché ti è stata fornita questa fonte dal programma di posta elettronica usate. In questo caso la fonte non è di grande utilità per ulteriori analisi.

score 0 · Answer 3

Da: Google sembra sospetto in questo. L'e-mail legittima avrà un qualche tipo o indirizzo inviato, anche se è un noreply @.

Tuttavia, alcune email di phishing sono particolarmente ben fatte, quindi il consiglio che faccio sempre alle persone è che se ricevi un'email con un link di cui non sei sicuro, o:

Individua il sito dell'organizzazione che l'email afferma di essere da te. Avviando la comunicazione, sai con chi stai parlando, piuttosto che rischiare un link potenzialmente ingombrante in un'email. In questo caso, saprai rapidamente se il tuo account Google è bloccato.
Contatta il venditore. Tricky quando si tratta di Google, ma se fosse una banca, ad esempio, sarebbero in grado di dirti se l'email era legittima.

Spero che ti aiuti.