Conduzindo Resposta a Incidentes de Phishing

Quando Usar

• Um usuário relata ter recebido um e-mail suspeito através do botão de denúncia de phishing ou caixa de correio de abuso
• O gateway de e-mail detecta um e-mail malicioso que contornou a filtragem inicial
• Inteligência de ameaças indica uma campanha de phishing ativa visando a organização
• Um usuário confirma que clicou em um link ou abriu um anexo de um e-mail suspeito
• Credenciais foram inseridas em uma página de phishing suspeita

Não use para comprometimento de e-mail comercial (BEC) envolvendo contas internas comprometidas; use os procedimentos de resposta a BEC, que se concentram na investigação de tomada de controle de conta.

Pré-requisitos

• Gateway de segurança de e-mail com capacidades de rastreamento de mensagens e quarentena (Microsoft Defender for Office 365, Proofpoint, Mimecast)
• Acesso de administrador do Microsoft 365 ou Google Workspace para pesquisa e exclusão de caixas de correio
• Sandbox de malware para análise de anexos e URLs (ANY.RUN, Joe Sandbox, Hybrid Analysis)
• Ferramentas de análise de cabeçalho de e-mail (MXToolbox Header Analyzer, Google Admin Toolbox)
• Acesso ao provedor de identidade para remediação de contas (Azure AD, Okta, Duo)
• Processo de recebimento de denúncias de phishing (caixa de correio dedicada ou botão de denúncia integrado)

Fluxo de Trabalho

Etapa 1: Receber e Triar o Relatório de Phishing

Avalie o e-mail relatado para determinar se é malicioso:

• Extraia o e-mail como um arquivo .EML ou .MSG (preserva os cabeçalhos)
• Analise os cabeçalhos do e-mail para determinar o remetente real, o caminho de retransmissão e os resultados de autenticação

Email Header Analysis Checklist:
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
Return-Path:     billing@spoofed-domain[.]com
From:            "IT Support" <support@corp-lookalike[.]com>
Reply-To:        attacker@gmail[.]com (different from From)
SPF:             FAIL (sender IP not authorized for domain)
DKIM:            FAIL (signature invalid)
DMARC:           FAIL (policy: none - no enforcement)
Received:        from mail.attacker-infra[.]net [45.33.x.x]
X-Originating-IP: 45.33.x.x
Message-ID:      <random@attacker-infra.net>

Critérios de classificação:

• Phishing Confirmado: URL/anexo malicioso, remetente falsificado, página de coleta de credenciais
• Suspeito: Cabeçalhos anômalos, mas nenhum conteúdo malicioso confirmado
• Spam/Marketing: Indesejado, mas não malicioso
• Legítimo: Não é um e-mail de phishing (relatório falso)

Etapa 2: Analisar Conteúdo Malicioso

Examine URLs e anexos em um ambiente seguro:

Análise de URL:

• Verifique a URL em relação ao VirusTotal, URLscan.io e Google Safe Browsing
• Abra a URL em um navegador sandbox para capturar a página de destino
• Verifique se a URL redireciona para uma página de coleta de credenciais
• Identifique o tipo de kit de phishing (clone de login do Microsoft 365, clone do Okta, genérico)
• Determine se a página de phishing ainda está ativa

Análise de Anexo:

• Calcule o hash do arquivo (SHA-256) e verifique em relação ao VirusTotal
• Detone em sandbox (ANY.RUN, Joe Sandbox)
• Analise o documento em busca de macros (olevba para arquivos do Office)
• Verifique a existência de exploits incorporados (exploração de CVE em parsers de documentos)

Etapa 3: Determinar o Escopo do Impacto

Identifique todos os destinatários e avalie quem interagiu com o e-mail de phishing:

Scope Assessment:
━━━━━━━━━━━━━━━━
Total Recipients:     47 users
Delivered to Inbox:   38 users (9 caught by email gateway)
Opened Email:         24 users (email tracking pixel data)
Clicked Link:         8 users (proxy/firewall logs)
Entered Credentials:  3 users (phishing page submitted form data)
Opened Attachment:    2 users (EDR process execution telemetry)

Métodos de pesquisa:

• Microsoft 365: Use o Threat Explorer ou a Pesquisa de Conteúdo para encontrar todas as instâncias do e-mail
• Google Workspace: Use o Console do Administrador > Ferramenta de Investigação para pesquisa de mensagens
• Logs de proxy: Pesquise conexões para a URL de phishing de IPs internos
• EDR: Pesquise a execução do hash do arquivo de anexo em todos os endpoints

Etapa 4: Conter a Ameaça

Execute ações de contenção com base na avaliação do impacto:

Contenção de E-mail:

• Exclua o e-mail de phishing de todas as caixas de correio usando o Microsoft 365 Content Search and Purge ou a exclusão do Google Workspace Admin
• Bloqueie o domínio do remetente no gateway de e-mail
• Adicione a URL de phishing à lista de bloqueio do proxy da web
• Adicione o hash do anexo às listas de bloqueio do gateway de e-mail e do EDR

Contenção de Conta (para usuários que inseriram credenciais):

• Force a redefinição de senha imediatamente
• Revogue todas as sessões ativas e tokens OAuth
• Ative ou reconfirme o registro do MFA
• Revise as regras da caixa de correio em busca de regras de encaminhamento criadas pelo atacante
• Verifique se há concessões de aplicativos OAuth não autorizadas

…