Der Umgang mit dem „SubdoMailing“-Angriff: Wie Red Sift proaktiv ein neues Risiko für unseren Kundenstamm identifizierte und behob

In der Welt der Cybersicherheit ist eine neue Bedrohung aufgetaucht. Bekannt als „SubdoMailing“, umgeht dieser neue Angriff auf raffinierte Weise einige der Schutzmaßnahmen, die DMARC zum Schutz der E-Mail-Integrität einrichtet.

In diesem Blog konzentrieren wir uns darauf, wie die strategischen Investitionen, die wir bei Red Sift getätigt haben, es uns ermöglichten, diesen Angriff schnell zu entdecken und uns davor zu schützen. Wir werden aufschlüsseln, wie wir in der Lage waren, diesen Angriff in Kundenumgebungen zu identifizieren und sicherzustellen, dass alle unsere Kunden innerhalb von 48 Stunden nach der breiten Berichterstattung über den Angriff geschützt waren.

Während wir hier einige Details zum Angriff behandeln, finden Sie alle Details darüber, wie dieser Angriff funktioniert, in unserem SubdoMailing-Leitfaden.

Ein paar Wochen bevor der SubdoMailing-Angriff von Guardio Labs aufgedeckt wurde, entdeckten wir, was wir für einen isolierten Vorfall hielten: bösartige Absender, die SPF-Prüfungen bestanden und betrügerisch E-Mails im Namen eines unserer Kunden versendeten.

In einer Kundeninstanz von Red Sift OnDMARC bemerkten wir, dass Mail von einem Absender mit schlechtem Ruf kam, sowie von einer Subdomain, die scheinbar nichts mit der Hauptdomain unseres Kunden zu tun hatte. Diese Subdomain hatte einen CNAME und verwies auf einen SPF-Eintrag, der Dienste autorisierte, die wir noch nie gesehen hatten. Bei der Untersuchung der Includes und IPs sah alles verdächtig aus.

Beispiele für E-Mails, die im Namen unseres Kunden mit schlechtem Ruf versendet wurden, aber SPF vollständig bestanden

Wir benachrichtigten unseren Kunden und baten das Team, doppelt zu prüfen, ob die versendende Subdomain legitim war. Der Kunde bestätigte, dass dies nicht der Fall war, und löschte die Subdomain.

Wir begannen, an automatisierten Methoden zu arbeiten, um Fälle wie diesen zu identifizieren, in denen DMARC und SPF korrekt konfiguriert waren, jemand jedoch veraltete, vergessene oder falsch konfigurierte Einträge ausgenutzt hatte, die fälschlicherweise in die DNS aufgenommen wurden, um Spam zu versenden. Wir erkannten, dass dieser Ansatz breiter ausgenutzt werden könnte, da er auf schlechter Hygiene von DNS-Einträgen basierte.

Nach diesem ersten Beispiel sahen wir eine Handvoll weiterer Instanzen dessen, was wir als „vergiftete“ SPF-Einträge zu bezeichnen begannen, die in der Kunden-DNS auftauchten. Das wahre Ausmaß dessen, womit wir es zu tun hatten, wurde jedoch klar, als Guardio Labs ihre Erkenntnisse zu SubdoMailing veröffentlichte.

Nach den Erkenntnissen von Guardio wurde uns klar, dass wir aufgrund unserer Anwendungen, unserer Investitionen in Cybersicherheits-Intelligence-Daten und der Sicherheitsexpertise, die wir in unserer gesamten Organisation einsetzen, in einer einzigartigen Position waren, um das weitreichende Ausmaß dieses Angriffs zu verstehen. Wir mussten mit Dringlichkeit handeln, um sicherzustellen, dass unsere Kunden geschützt waren.

Bei Red Sift ist uns bewusst, dass die Zeiten, in denen ein Patch zum Schutz vor einem Sicherheitsangriff bereitgestellt wurde, größtenteils vorbei sind. Unsere Kunden tauschen Schwachstellenmanagement gegen Expositionsmanagement ein – sie bewerten kontinuierlich die Sichtbarkeit und den Sicherheitsstatus ihres gesamten digitalen Bestands über patchbare und nicht patchbare Angriffsvektoren hinweg. Wie im Fall von SubdoMailing zu sehen, werden einst einzelne Bedrohungen zunehmend miteinander verknüpft.

Um sicherzustellen, dass unsere Kunden die benötigten Informationen erhalten, investieren wir in Feeds von Cybersicherheits-Intelligence-Signalen – wie passive DNS-Feeds, private Datenkanäle mit wichtigen Anbietern, Echtzeit-Spam-Trap-Feeds, Bedrohungs- und Reputationsinformationen auf IP-Ebene sowie ASN-Metadaten. Wir haben dies durch unsere strategische Übernahme von Hardenize weiter vorangetrieben.

Dies wurde zur Grundlage für das Verständnis der Kundenauswirkungen von SubdoMailing.

Guardio berichtete, dass böswillige Akteure verwaiste CNAME-Einträge und SPF-Include-Anweisungen genutzt hatten, um betrügerische E-Mails im Namen legitimer Marken zu versenden. Dies stimmte auch mit unseren eigenen Erkenntnissen überein.

Der erste Schritt für die Angreifer, um im Namen eines anderen zu versenden, bestand darin, die DNS-Einträge zu untersuchen, um Fälle zu finden, in denen eine Domain über den CNAME-Eintrag mit einer anderen verknüpft war. Wenn eine Subdomain, auf die in der DNS verwiesen wurde, aufgegeben worden war, registrierten die böswilligen Akteure sie neu, um die DMARC-Richtlinie der Root-Domain zu erben und sie mit ihrer eigenen E-Mail-Farm zu kombinieren.

Als Beispiel sind wir in unserem eigenen Kundenstamm auf CNAME-Einträge gestoßen, die auf aufgegebene Marketo-Hosts verweisen.

go2.{customerdomain}.com CNAME mkto-lon123456.com

Sobald die CNAME-Übernahme abgeschlossen war, fügten die Angreifer Domains, die vergessen oder übernommen worden waren, zu SPF-Einträgen hinzu, indem sie die include-Anweisungen manipulierten.

Ein Beispiel, das wir besonders bemerkenswert fanden, wurde von Guardio Labs aufgedeckt. In der SPF-Richtlinie für msnmarthastewartsweeps.com stand Folgendes:

v=spf1 include:harrisburgjetcenter.com include:greaterversatile.com -all

Das bedeutet, dass Absender in der harrisburgjetcenter.com-SPF nun autorisiert sind, im Namen von msnmarthastewartsweeps.com und vielleicht noch bedeutsamer im Namen von marthastewart.msn.com zu versenden.

(Bitte beachten Sie, dass harrisburgjetcenter.com und greaterversatile.com seit dem 12. März 2024 abgeschaltet wurden.)

Anhand verdächtiger Includes, die wir intern in Kundenumgebungen gesehen hatten, sowie Beispielen, die Guardio aufgedeckt hatte, wie harrisburgjetcenter.com, begannen wir, eine Liste von Domains zusammenzustellen, von denen wir vermuteten, dass sie zum Versenden betrügerischer Mails missbraucht worden waren.

Wir konnten diese Liste weiter ausbauen, indem wir unseren eigenen Datenfeed analysierten, der täglich 70 Millionen Apex-Domains untersucht. Ein Teil dieses Datenfeeds umfasst die SPF-Erkennung, die wir typischerweise nutzen, um legitime Versanddienste zu entdecken. In diesem Fall erkannten wir jedoch, dass wir dies nutzen konnten, um wahrscheinlich betrügerische Versanddienste zu entdecken.

Durch die Kombination dieser Signale mit Domain-Registrierungsdaten und passiven DNS-Feeds begannen wir, Muster zu identifizieren, die darauf hinwiesen, dass eine Domain für SubdoMailing verwendet wurde. Durch die Visualisierung von DNS-Änderungen im Zeitverlauf für bestimmte Domains können wir erkennen, wann anomales Verhalten auftritt und Domains folglich gekapert werden.

Nehmen wir das Beispiel von greaterversatile.com (eine von Guardio markierte vergiftete SPF-Domain). Wir sehen sehr normale Veränderungen im Zeitverlauf, mit gelegentlich auftretenden TXT-Einträgen im Vorfeld der SubdoMailing-Kampagne – dargestellt durch blaue Punkte. Ende 2023 und Anfang 2024 sehen wir jedoch eine Flut von Aktivitäten, bei denen der NS geändert wird – dargestellt durch den rosa Punkt – sowie eine überwältigende Anzahl von TXT-Änderungen, die unter legitimen Umständen selten vorkommen würden.

Die Suche nach solchen Mustern ermöglichte es uns, zu bestätigen, dass unsere Hypothesen über gekaperte Subdomains korrekt waren. Wir können eine unserer vermuteten bösartigen Domains nehmen und nach anomaler DNS-Aktivität suchen, wie bei jacksonbox.com.

Dies war die Grundlage für unsere „Liste bekannter bösartiger Domains“ – die die Kerndomains umfasst, die für SubdoMailing verwendet werden. Während wir weiterhin tiefer in diese Daten eindringen, wächst unsere Liste jeden Tag.

Sobald wir unsere „Liste bekannter bösartiger Domains“ hatten, konnten wir Red Sift ASM verwenden, um programmgesteuert die SPF-Einträge aller unserer Kunden zu untersuchen und zu sehen, ob deren SPF-Includes vergiftet waren.

Wir entdeckten Organisationen aller Größen, Regionen und Märkte, die betroffen waren, und machten uns schnell an die Benachrichtigung und Behebung. Wir hatten mit allen betroffenen Kunden innerhalb von 24 Stunden nach der Veröffentlichung des ursprünglichen Guardio-Berichts kommuniziert. Anschließend arbeiteten wir Hand in Hand, um betroffenen Kunden zu helfen, die Einträge innerhalb von 48 Stunden nach Veröffentlichung des Berichts zu entfernen.

Wenn Sie sich fragen, ob Sie von SubdoMailing betroffen sind, ist der beste Ausgangspunkt Red Sift Investigate. Sollte Investigate irgendwelche „SubdoMailer“ – auch bekannt als vergiftete Includes – aufdecken, ermöglicht Ihnen der Red Sift SPF Checker, diese in einem dynamischen „SPF-Baum“ zu visualisieren, sodass Sie schnell feststellen können, wo sie sich befinden, und die Behebungsmaßnahmen beschleunigen können.

Wir haben alle unsere Erkenntnisse aus unserer „Liste bekannter bösartiger Domains“ destilliert, sodass jede Domain weltweit überprüft werden kann, um festzustellen, ob ihre SPF-Includes vergiftet sind. Wir arbeiten kontinuierlich daran, die Liste zu erweitern – sie ist in einer Woche um 500 % gewachsen, und wir finden jeden Tag weitere Domains.

Für Red Sift-Kunden haben unsere Teams fieberhaft daran gearbeitet, Schutzfunktionen gegen SubdoMailing auszurollen. Wir freuen uns, sagen zu können, dass diese für unsere Kunden live sind und automatisch anzeigen, wenn Domains, die für SubdoMailing verwendet werden, in Ihrer DMARC-Umgebung vorhanden sind.

Und für Unternehmen, die proaktiver bei der Überwachung ihrer Domains und Subdomains sein möchten, um dieses Angriffsmuster in Zukunft zu verhindern, sollten Sie sich unbedingt Red Sift ASM ansehen. Red Sift ASM führt die wichtigsten Prüfungen durch, die erforderlich sind, um ähnliche Bedrohungen wie SubdoMailing zu verhindern – Überwachung des Domainnamen-Ablaufs, damit Sie nicht die Kontrolle über Ihre Domains verlieren, und das Auffinden verwaister Einträge und Dienste, damit Sie Ihre DNS bereinigen können. Die Asset-Erkennung und -Überwachung erfolgt oft in Echtzeit und gibt Ihrem Team wichtiges Wissen, wenn es benötigt wird – nicht erst nach Tagen, Wochen oder Monaten.

Um mehr über SubdoMailing zu erfahren und wie Red Sift den Angriff entdeckte und seine Kunden davor schützte, melden Sie sich unten für das On-Demand-Live-Briefing an.