Analyse des liens

Stoïk Email Security inspecte les liens trouvés dans les e-mails qu’il analyse. Cette page explique ce que nos systèmes font avec ces liens, et comment signaler un lien qui doit être laissé tranquille.

Pourquoi les liens sont résolus

Le phishing se trahit rarement dans le corps d’un message. Le signal se trouve dans la destination : un lien raccourci qui aboutit sur un domaine ressemblant à l’original, ou une chaîne de redirections qui finit sur un domaine enregistré il y a trois jours.

Lire un lien tel qu’il est écrit ne nous apprend rien de tout cela. Il faut résoudre le lien pour voir où il mène réellement.

Ce que fait l’analyse

Pour chaque lien dans un e-mail analysé, Stoïk envoie une requête HTTP HEAD et suit jusqu’à cinq redirections.

Une HEAD requête demande au serveur uniquement les en-têtes de réponse. C’est la même requête que l’ouverture de la page, sans le contenu de la page. Elle est utilisée à la place d’un chargement complet de la page, car c’est le moyen le plus léger de savoir où mène un lien.

À partir de là, Stoïk enregistre la fin de la chaîne de redirections, le nombre de sauts et la réputation du domaine de destination. La requête expire au bout de deux secondes.

Quand l’analyse va plus loin

Si le domaine de destination paraît suspect, c’est-à-dire s’il a une mauvaise réputation, a été enregistré récemment ou est rarement observé parmi les boîtes mail que nous protégeons, la page est ouverte dans un environnement de navigateur isolé et une capture d’écran est effectuée. Un modèle de vision détermine ensuite s’il s’agit d’un kit de collecte d’identifiants, et quelle marque il imite.

Un domaine bien établi et couramment observé n’atteint jamais cette étape. Un lien vers un grand fournisseur est résolu, mais sa page n’est jamais chargée.

Charger une page signifie que la page exécute son propre JavaScript, exactement comme dans le navigateur d’un visiteur, et qu’une page peut émettre ses propres requêtes pendant ce temps. Ces requêtes proviennent de la page, et non des instructions que nous lui donnons. Lorsqu’une page est inaccessible à cause d’un défi anti-bot, la capture passe par un solveur qui négocie d’abord le défi.

Ce que l’analyse ne fait jamais

Stoïk n’agit pas en votre nom. Notre analyse ne clique sur aucun bouton, ne remplit aucun formulaire, et n’utilise jamais vos identifiants. Lorsqu’un lien déclencherait quelque chose du seul fait d’être demandé, il n’est pas demandé du tout : voir Liens qui sont entièrement ignorés.

Exception : plateformes de partage de fichiers

Les attaquants font transiter une part croissante de leur phishing par des services légitimes de partage de fichiers. Un document partagé depuis une plateforme connue emprunte la réputation de cette plateforme et passe la plupart des filtres, tandis que le piège se trouve à l’intérieur du fichier partagé. Évaluer cet e-mail signifie lire ce qui a réellement été partagé.

Ces plateformes ne remettent pas un document partagé à un simple chargement de page. Y accéder signifie effectuer la requête définie par la plateforme : une requête vers sa propre API, ou l’étape d’authentification anonyme qu’effectue un lien de partage en utilisant la clé déjà contenue dans le lien.

Stoïk ne le fait que sur les plateformes qu’il prend explicitement en charge, et uniquement avec ce que le lien contient déjà.

Liens qui sont entièrement ignorés

Certains liens modifient quelque chose dès qu’ils sont demandés, même par un HEAD. Un lien de signature électronique peut marquer un document comme consulté ou consommer un jeton à usage unique. Un lien de digest de quarantaine peut libérer un e-mail bloqué. Un lien de désabonnement en un clic retire le destinataire d’une liste de diffusion, et un lien d’invitation de calendrier peut enregistrer une réponse.

La norme HTTP est explicite ici. La section 9.2.1 de la RFC 9110 définit GET et HEAD comme des méthodes sûres : un client qui en envoie une ne demande ni n’attend aucun changement d’état sur le serveur. La même section ajoute que lorsqu’un paramètre dans l’URL sélectionne une action, le propriétaire de cette ressource doit désactiver l’action lorsqu’elle est atteinte avec une méthode sûre. La règle existe pour que la récupération automatisée puisse fonctionner sans causer de préjudice.

Tous les services ne la respectent pas.

Stoïk maintient une liste d’autorisation des destinations qui sont complètement ignorées, sans qu’aucune requête ne soit envoyée. Elle couvre les plateformes de signature électronique, les portails de quarantaine des e-mails, les points de terminaison de désabonnement des newsletters et les réponses aux invitations de calendrier.

Signaler un lien

Si vous voyez sur l’un de vos services une action que vous pensez provenir de notre analyse, signalez-la à Stoïk via votre canal de support habituel.

Détails utiles :

• Le service concerné

• L’adresse de la boîte mail concernée

• Environ à quel moment c’est arrivé

• Le lien lui-même, si vous l’avez encore

La destination est ajoutée à la liste d’autorisation, et vous êtes informé une fois la modification effective.