Investigando Incidente de E-mail de Phishing

Quando Usar

Use esta habilidade quando:

• Um usuário relatar um e-mail suspeito através do botão de denúncia de phishing ou ticket de helpdesk
• O gateway de segurança de e-mail sinalizar uma mensagem que contornou os filtros iniciais
• A detecção automatizada identificar URLs de coleta de credenciais ou anexos maliciosos
• Uma campanha de phishing visando a organização exigir avaliação de escopo

Não use para e-mails de spam ou marketing sem intenção maliciosa — encaminhe-os para a administração de e-mail para ajuste de filtros.

Pré-requisitos

• Acesso aos logs do gateway de e-mail (Proofpoint, Mimecast ou Microsoft Defender para Office 365)
• Splunk ou SIEM com ingestão de logs de e-mail (O365 Message Trace, logs de rastreamento do Exchange)
• Acesso a sandbox (Any.Run, Joe Sandbox ou Hybrid Analysis) para detonação de URL/anexo
• Microsoft Graph API ou Exchange Admin Center para operações de busca e exclusão de e-mail
• Chaves de API do URLScan.io e VirusTotal

Fluxo de Trabalho

Etapa 1: Extrair e Analisar Cabeçalhos de E-mail

Obtenha os cabeçalhos completos do e-mail (arquivo .eml) da mensagem relatada:

import email
from email import policy

with open("phishing_sample.eml", "rb") as f:
    msg = email.message_from_binary_file(f, policy=policy.default)

# Extract key headers
print(f"From: {msg['From']}")
print(f"Return-Path: {msg['Return-Path']}")
print(f"Reply-To: {msg['Reply-To']}")
print(f"Subject: {msg['Subject']}")
print(f"Message-ID: {msg['Message-ID']}")
print(f"X-Originating-IP: {msg['X-Originating-IP']}")

# Parse Received headers (bottom-up for true origin)
for header in reversed(msg.get_all('Received', [])):
    print(f"Received: {header[:120]}")

# Check authentication results
print(f"Authentication-Results: {msg['Authentication-Results']}")
print(f"DKIM-Signature: {msg.get('DKIM-Signature', 'NONE')[:80]}")

Verificações importantes:

• SPF: O domínio Return-Path corresponde ao IP de envio? Procure por spf=pass ou spf=fail
• DKIM: A assinatura é válida? dkim=pass confirma que o e-mail não foi modificado em trânsito
• DMARC: O domínio From está alinhado com os domínios SPF/DKIM? dmarc=fail indica spoofing

Etapa 2: Analisar URLs e Anexos

Análise de URL:

import requests

# Submit URL to URLScan.io
url_to_scan = "https://evil-login.example.com/office365"
response = requests.post(
    "https://urlscan.io/api/v1/scan/",
    headers={"API-Key": "YOUR_KEY", "Content-Type": "application/json"},
    json={"url": url_to_scan, "visibility": "unlisted"}
)
scan_id = response.json()["uuid"]
print(f"Scan URL: https://urlscan.io/result/{scan_id}/")

# Check VirusTotal for URL reputation
import vt
client = vt.Client("YOUR_VT_API_KEY")
url_id = vt.url_id(url_to_scan)
url_obj = client.get_object(f"/urls/{url_id}")
print(f"VT Score: {url_obj.last_analysis_stats}")
client.close()

Análise de Anexo:

import hashlib

# Calculate file hashes
with open("attachment.docx", "rb") as f:
    content = f.read()
    md5 = hashlib.md5(content).hexdigest()
    sha256 = hashlib.sha256(content).hexdigest()

print(f"MD5: {md5}")
print(f"SHA256: {sha256}")

# Submit to MalwareBazaar for lookup
response = requests.post(
    "https://mb-api.abuse.ch/api/v1/",
    data={"query": "get_info", "hash": sha256}
)
print(response.json()["query_status"])

Envie para sandbox (Any.Run ou Joe Sandbox) para análise dinâmica de macros, execução de PowerShell e callbacks de C2.

Etapa 3: Determinar o Escopo da Campanha

Procure por todos os destinatários do mesmo e-mail de phishing no Splunk:

index=email sourcetype="o365:messageTrace"
(SenderAddress="attacker@evil-domain.com" OR Subject="Urgent: Password Reset Required"
 OR MessageId="<phishing-message-id@evil.com>")
earliest=-7d
| stats count by RecipientAddress, DeliveryStatus, MessageTraceId
| sort - count

Alternativamente, use a Microsoft Graph API:

import requests

headers = {"Authorization": f"Bearer {access_token}"}
params = {
    "$filter": f"subject eq 'Urgent: Password Reset Required' and "
               f"receivedDateTime ge 2024-03-14T00:00:00Z",
    "$select": "sender,toRecipients,subject,receivedDateTime",
    "$top": 100
}
response = requests.get(
    "https://graph.microsoft.com/v1.0/users/admin@company.com/messages",
    headers=headers, params=params
)
messages = response.json()["value"]
print(f"Found {len(messages)} matching messages")

Etapa 4: Identificar Usuários Afetados (Quem Clicou)

Verifique os logs de proxy/web em busca de usuários que visitaram o URL de phishing:

…