Analisando Cabeçalhos de E-mail para Investigação de Phishing

Quando Usar

• Ao investigar um e-mail suspeito de phishing para determinar sua verdadeira origem
• Para verificar a autenticidade do remetente e detectar falsificação de e-mail (spoofing)
• Durante a resposta a incidentes quando um usuário clicou em um link de phishing
• Ao rastrear o caminho de entrega e os servidores de retransmissão de um e-mail suspeito
• Para validar o alinhamento de SPF, DKIM e DMARC para identificar falsificação

Pré-requisitos

• Cabeçalhos brutos do e-mail da mensagem suspeita (formato EML ou MSG)
• Compreensão do protocolo SMTP e dos campos de cabeçalho de e-mail
• Acesso a ferramentas de consulta DNS (dig, nslookup) para verificação de SPF/DKIM/DMARC
• Ferramentas de análise de cabeçalho de e-mail (conceitos de MHA, emailheaders.net)
• Python com bibliotecas de análise de e-mail para análise automatizada
• Acesso a plataformas de inteligência de ameaças para reputação de IP/domínio

Fluxo de Trabalho

Etapa 1: Extrair Cabeçalhos Brutos do E-mail

# Export from Outlook: Open email > File > Properties > Internet Headers
# Export from Gmail: Open email > Three dots > Show original
# Export from Thunderbird: View > Message Source

# If working with EML file from forensic image
cp /mnt/evidence/Users/suspect/AppData/Local/Microsoft/Outlook/phishing_email.eml \
   /cases/case-2024-001/email/

# If working with PST file, extract individual messages
pip install pypff
python3 << 'PYEOF'
import pypff

pst = pypff.file()
pst.open("/cases/case-2024-001/email/outlook.pst")
root = pst.get_root_folder()

def extract_messages(folder, path=""):
    for i in range(folder.get_number_of_sub_messages()):
        msg = folder.get_sub_message(i)
        headers = msg.get_transport_headers()
        subject = msg.get_subject()
        if headers:
            filename = f"/cases/case-2024-001/email/msg_{i}_{subject[:30]}.txt"
            with open(filename, 'w') as f:
                f.write(headers)
    for i in range(folder.get_number_of_sub_folders()):
        extract_messages(folder.get_sub_folder(i))

extract_messages(root)
PYEOF

Etapa 2: Analisar a Cadeia de Cabeçalhos do E-mail

# Parse headers using Python email library
python3 << 'PYEOF'
import email
from email import policy

with open('/cases/case-2024-001/email/phishing_email.eml', 'r') as f:
    msg = email.message_from_file(f, policy=policy.default)

print("=== KEY HEADER FIELDS ===")
print(f"From:          {msg['From']}")
print(f"To:            {msg['To']}")
print(f"Subject:       {msg['Subject']}")
print(f"Date:          {msg['Date']}")
print(f"Message-ID:    {msg['Message-ID']}")
print(f"Reply-To:      {msg['Reply-To']}")
print(f"Return-Path:   {msg['Return-Path']}")
print(f"X-Mailer:      {msg['X-Mailer']}")
print(f"X-Originating-IP: {msg['X-Originating-IP']}")

print("\n=== RECEIVED HEADERS (bottom-up = chronological) ===")
received_headers = msg.get_all('Received')
if received_headers:
    for i, header in enumerate(reversed(received_headers)):
        print(f"\nHop {i+1}: {header.strip()}")

print("\n=== AUTHENTICATION RESULTS ===")
auth_results = msg.get_all('Authentication-Results')
if auth_results:
    for result in auth_results:
        print(result)

print(f"\nARC-Authentication-Results: {msg.get('ARC-Authentication-Results', 'Not present')}")
print(f"Received-SPF: {msg.get('Received-SPF', 'Not present')}")
print(f"DKIM-Signature: {msg.get('DKIM-Signature', 'Not present')}")
PYEOF

Etapa 3: Validar Registros SPF, DKIM e DMARC

# Extrair o domínio do remetente do envelope
DOMINIO_REMETENTE="example-corp.com"

# Verificar registro SPF
dig TXT $DOMINIO_REMETENTE +short | grep "v=spf1"
# Exemplo: "v=spf1 include:_spf.google.com include:sendgrid.net ~all"

# Verificar registro DKIM (seletor do cabeçalho DKIM-Signature, por exemplo, "s=selector1")
SELETOR_DKIM="selector1"
dig TXT ${SELETOR_DKIM}._domainkey.${DOMINIO_REMETENTE} +short

# Verificar registro DMARC
dig TXT _dmarc.${DOMINIO_REMETENTE} +short
# Exemplo: "v=DMARC1; p=reject; rua=mailto:dmarc@example-corp.com; pct=100"

# Verificar o IP de envio contra o SPF
# Extrair IP do primeiro cabeçalho Received
IP_ENVIO="203.0.113.45"

# Verificação manual de SPF usando python
python3 << 'PYEOF'
import spf  # pip install pyspf

result, explanation = spf.check2(
    i='203.0.113.45',
    s='sender@example-corp.com',
    h='mail.example-corp.com'
)
print(f"Resultado SPF: {result}")
print(f"Explicação: {explanation}")
# Resultados: pass, fail, softfail, neutral, none, temperror, permerror
PYEOF

# Verificar se o IP de envio está em listas conhecidas de IPs maliciosos
# Consultar AbuseIPDB ou VirusTotal

…