⚠️ USO AUTORIZADO APENAS Esta habilidade destina-se apenas a fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Porta de confirmação obrigatória Antes de executar qualquer comando que sonde, explore, altere, persista, extraia dados ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL exato do alvo, IP, conta ou recurso.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça apenas em modo somente leitura e forneça orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

Segurança de E-mail e Análise de Phishing

Quando Usar

• Analisando mensagens suspeitas ou exposição a spoofing de domínio.
• Validando a postura de autenticação de e-mail de um domínio.

Cenários de Uso

• Análise de e-mails de phishing e IOCs.
• Avaliação de configuração de SPF/DKIM/DMARC.
• Padrões de fraude em e-mails corporativos (BEC).
• Phishing de aplicativos OAuth / Abuso de tokens de e-mail (identidades llm/cloud federadas).
• Design de exercícios de conscientização de segurança (autorizado).

Fluxo de Trabalho

□ 完整原始头：Received 链、From/Return-Path 一致性
□ SPF/DKIM/DMARC 对齐结果
□ URL 沙箱与附件静态（联合 malware-analysis）
□ 仿冒品牌与回复地址差异
□ 租户：反钓鱼策略、外部标记、MFA、OAuth app 同意

Cadeia de Ferramentas

Referências

• references/email-auth-checklist.md
• ../malware-analysis/ ../attack-chain/ (Fase de Phishing) ../windows-ad/ (Tokens)

Contexto de Roteamento

Upstream: MASTER R36
NÃO DEVE: Enviar e-mails de teste de phishing em massa para domínios de terceiros sem autorização.

Autoverificação de Conclusão de Tarefa

• A conclusão da autenticação de cabeçalho está completa?
• Os IOCs são detectáveis (federados com threat-hunting)?
• Checklist?

Limitações

• A investigação de caixas de correio ativas toca dados pessoais; minimize e anonimize.
• A análise de cabeçalhos não pode detectar comprometimento que não deixa rastro de e-mail.

Adaptado de zhaoxuya520/reverse-skill (MIT).