BreakSPF: Wie man den Angriff eindämmt

Zusammenfassung: BreakSPF ist eine aufkommende Bedrohung, die falsch konfigurierte SPF-Einträge ausnutzt, insbesondere solche mit übermäßig weit gefassten IP-Bereichen. Angreifer können diese Schwachstellen ausnutzen, um betrügerische E-Mails zu senden, die legitim erscheinen.Die Nutzung von Lösungen wie Red Sift OnDMARC kann Organisationen helfen, diese Fehlkonfigurationen zu erkennen und zu korrigieren und so ihre gesamte E-Mail-Sicherheitslage zu verbessern.​

Dieser Artikel:

• Stellt BreakSPF vor, ein Angriffsframework, das Fehlkonfigurationen im Sender Policy Framework (SPF) ausnutzt, insbesondere übermäßig freizügige IP-Bereiche.​
• Erklärt, wie Angreifer gemeinsam genutzte Infrastrukturen wie Cloud-Anbieter und Content Delivery Networks (CDNs) nutzen, um SPF-Prüfungen zu umgehen und gefälschte E-Mails zu senden.
• ​Hebt die Bedeutung der Nutzung von Tools wie Red Sift OnDMARC hervor, um übermäßig freizügige SPF-Konfigurationen zu identifizieren und zu beheben und so die E-Mail-Sicherheit zu stärken.​

BreakSPF ist ein neu identifiziertes Angriffsframework, das Fehlkonfigurationen im Sender Policy Framework (SPF), einem weit verbreiteten E-Mail-Authentifizierungsprotokoll, ausnutzt. Eine häufige Fehlkonfiguration betrifft übermäßig freizügige IP-Bereiche, bei denen SPF-Einträge großen Blöcken von IP-Adressen erlauben, im Namen einer Domain E-Mails zu senden. Diese Bereiche umfassen oft gemeinsam genutzte Infrastrukturen wie Cloud-Anbieter, Proxys oder Content Delivery Networks (CDNs).

BreakSPF macht sich dies zunutze, indem es solche Konfigurationen identifiziert und missbraucht, wodurch Angreifer SPF-Prüfungen umgehen, gefälschte E-Mails senden können, die legitim erscheinen, und gemeinsam genutzte Dienste manipulieren, um der Entdeckung zu entgehen.

BreakSPF nutzt drei Hauptangriffsformen, um SPF-Schwachstellen auszunutzen, wobei sowohl HTTP- als auch SMTP-Server angegriffen werden. Dazu gehören:

1. Angriffe mit festen IP-Adressen

Bei dieser Methode erlangen Angreifer langfristige Kontrolle über bestimmte IP-Adressen und nutzen sie als Mail Transfer Agents (MTAs), um gefälschte E-Mails zu senden. Durch die Nutzung gemeinsam genutzter Infrastruktur wie Cloud-Server und Proxys umgehen sie traditionelle Abwehrmaßnahmen wie Greylisting.

1. Angriffe mit dynamischen IP-Adressen

Hier bewerten Angreifer dynamisch verwundbare Domains, indem sie sich ändernde ausgehende IPs überwachen und diese vorübergehend ausnutzen. Diese Methode stützt sich auf öffentliche Infrastruktur wie serverlose Funktionen oder CI/CD-Plattformen, wodurch traditionelles IP-Blacklisting unwirksam wird. Im Gegensatz zu Angriffen mit festen IPs vermeidet diese Methode die Abhängigkeit von bestimmten IP-Adressen, was die Komplexität erhöht und die Abwehr erschwert.

1. Cross-Protocol-Angriffe

Bei Cross-Protocol-Angriffen betten Hacker SMTP-Daten in HTTP-Pakete ein und nutzen HTTP-Proxys oder CDN-Exit-Nodes, um diese an die Opfer weiterzuleiten. Durch die Ausnutzung gemeinsam genutzter Infrastrukturen wie offener HTTP-Proxys und CDN-Dienste vermischen diese Angriffe böswillige Aktivitäten mit legitimem Verkehr, was sie außerordentlich unauffällig und schwer nachzuverfolgen macht.

Ein häufiges Missverständnis über SPF ist, dass es die sichtbare „Von“-Adresse authentifiziert, die in E-Mail-Clients angezeigt wird. Tatsächlich überprüft es die 5321.MailFrom-Adresse, auch bekannt als Return-Path oder Bounce-Adresse, die nur in den E-Mail-Headern sichtbar ist.

Dieses Missverständnis führt oft dazu, dass Organisationen fälschlicherweise jedes einzelne Sende-Tool zu ihren SPF-Einträgen hinzufügen. E-Mail-Expertin Laura Atkins von Word to the WiseWord to the Wise erklärt es gut: „Einer der Fehler entsteht, weil viele Leute, sogar viele E-Mail-Experten, nicht immer wissen oder sich daran erinnern, dass es zwei getrennte, aber gleich wichtige Von:-Adressen in einer E-Mail gibt.“

SPF sollte nur Mechanismen für Nachrichten enthalten, die Ihre organisatorische Domain im Return-Path verwenden. Wenn eine Subdomain oder eine andere Domain im Return-Path verwendet wird, besteht keine Notwendigkeit, sie zum SPF-Eintrag Ihrer Hauptdomain hinzuzufügen, da sie nicht überprüft wird. Das Einbeziehen unnötiger Mechanismen verschwendet wertvollen SPF-Lookup-Speicherplatz.

BreakSPF nutzt übermäßig freizügige SPF-Bereiche aus, wodurch Angreifer DMARC umgehen und bösartige E-Mails senden können, die authentifiziert erscheinen. Um dem entgegenzuwirken, ist es wichtig, nicht nur fehlgeschlagene Quellen zu überprüfen, sondern auch bestandene Quellen, die unbekannt oder verdächtig erscheinen.

Die Dynamic-SPF-Funktion von Red Sift OnDMARC schützt Ihre Domain, indem sie SPF-Einträge kontinuierlich analysiert, um übermäßig freizügige Bereiche zu identifizieren und zu beheben. Dieser proaktive Ansatz hilft, Ihre Sicherheitslage zu verbessern und Ihre Angriffsfläche zu verringern, wodurch sichergestellt wird, dass potenzielle Schwachstellen, die von BreakSPF ausgenutzt werden, behoben werden, bevor ein Schaden entsteht. OnDMARC erkennt und behebt außerdem Lücken bei Protokoll-Fehlkonfigurationen und bietet so umfassenden Schutz.

OnDMARC-Nutzer profitieren zudem von optimierter forensischer Berichterstattung für die kontinuierliche Überwachung über Domains und Subdomains hinweg, einschließlich der Erkennung verdächtiger IP-Adressen. Zusätzlich verhindert die Dynamic-SPF-Funktion Probleme mit dem Limit von 10 DNS-Lookups, indem alle autorisierten Dienste in einer einzigen dynamischen Include-Anweisung zusammengefasst werden. Dies gewährleistet die SPF-Validierung für den gesamten legitimen Verkehr, unabhängig von der Anzahl der genutzten Versanddienste.

Bleiben Sie Bedrohungen wie BreakSPF einen Schritt voraus—starten Sie noch heute Ihre kostenlose Testversion von Red Sift OnDMARC!