Linkanalyse
Stoïk Email Security prüft die in den von ihm analysierten E-Mails gefundenen Links. Diese Seite erklärt, was unsere Systeme mit diesen Links tun und wie man einen Link meldet, der unberührt bleiben sollte.
Warum Links aufgelöst werden
Phishing verrät sich im Text einer Nachricht nur selten. Der Hinweis steckt im Ziel: ein gekürzter Link, der auf einer täuschend ähnlichen Domain landet, oder eine Weiterleitungskette, die auf einer Domain endet, die vor drei Tagen registriert wurde.
Wenn wir einen Link so lesen, wie er geschrieben ist, erfahren wir nichts davon. Der Link muss aufgelöst werden, um zu sehen, wohin er tatsächlich führt.
Was die Analyse tut
Für jeden Link in einer analysierten E-Mail sendet Stoïk eine HTTP HEAD HEAD-Anfrage und folgt bis zu fünf Weiterleitungen.
Eine HEAD Anfrage fordert von einem Server nur die Antwort-Header an. Es ist dieselbe Anfrage wie beim Öffnen der Seite, nur ohne den Seiteninhalt. Sie wird anstelle eines vollständigen Seitenaufrufs verwendet, weil sie der leichteste Weg ist, herauszufinden, wohin ein Link führt.
Daraus erfasst Stoïk das Ende der Weiterleitungskette, die Anzahl der Hops und den Ruf der Zieldomain. Die Anfrage läuft nach zwei Sekunden ab.
Wenn die Analyse weitergeht
Wenn die Zieldomain verdächtig wirkt, also einen schlechten Ruf hat, erst kürzlich registriert wurde oder in den von uns geschützten Postfächern nur selten gesehen wird, wird die Seite in einer isolierten Browserumgebung geöffnet und ein Screenshot erstellt. Ein Vision-Modell beurteilt dann, ob es sich bei der Seite um ein Kit zum Sammeln von Zugangsdaten handelt und welche Marke sie imitiert.
Eine gut etablierte und häufig anzutreffende Domain erreicht diese Stufe nie. Ein Link zu einem großen Anbieter wird zwar aufgelöst, seine Seite wird jedoch nie geladen.
Das Laden einer Seite bedeutet, dass die Seite ihr eigenes JavaScript ausführt, genau so, wie sie es im Browser eines Besuchers tun würde, und eine Seite kann dabei eigene Anfragen auslösen. Diese Anfragen kommen von der Seite, nicht von Anweisungen, die wir ihr geben. Wenn eine Seite wegen einer Anti-Bot-Herausforderung nicht erreichbar ist, läuft die Erfassung über einen Solver, der die Herausforderung zuerst aushandelt.
Was die Analyse niemals tut
Stoïk handelt nicht in Ihrem Namen. Unsere Analyse klickt keinen Button, füllt kein Formular aus und verwendet niemals Ihre Zugangsdaten. Wenn ein Link schon durch das bloße Abrufen etwas auslösen würde, wird er überhaupt nicht abgerufen: siehe Links, die vollständig übersprungen werden.
Ausnahme: Dateifreigabe-Plattformen
Angreifer wickeln einen wachsenden Teil ihres Phishings über legitime Dateifreigabedienste ab. Ein von einer bekannten Plattform freigegebenes Dokument leiht sich den Ruf dieser Plattform und passiert die meisten Filter, während die Falle in der freigegebenen Datei steckt. Diese E-Mail zu bewerten bedeutet, das tatsächlich Freigegebene zu lesen.
Diese Plattformen liefern ein freigegebenes Dokument nicht über einen einfachen Seitenaufruf aus. Um eines zu erreichen, muss die von der Plattform dafür vorgesehene Anfrage gestellt werden: eine Abfrage an ihre eigene API oder der anonyme Authentifizierungsschritt, den ein Freigabelink mithilfe des bereits im Link enthaltenen Schlüssels ausführt.
Stoïk tut dies nur auf den Plattformen, die ausdrücklich unterstützt werden, und nur mit dem, was der Link bereits enthält.
Links, die vollständig übersprungen werden
Einige Links ändern etwas in dem Moment, in dem sie angefordert werden, sogar durch einen HEAD. Ein Link für eine elektronische Signatur kann ein Dokument als angezeigt markieren oder ein Einmal-Token verbrauchen. Ein Quarantäne-Zusammenfassungs-Link kann eine blockierte E-Mail freigeben. Ein Abmelde-Link mit einem Klick entfernt den Empfänger aus einer Mailingliste, und ein Link zu einer Kalendereinladung kann eine Zusage registrieren.
Der HTTP-Standard ist hier eindeutig. RFC 9110 Abschnitt 9.2.1 definiert GET und HEAD als sichere Methoden: Ein Client, der eine solche Anfrage sendet, fordert weder eine Zustandsänderung auf dem Server an noch erwartet er eine solche. Derselbe Abschnitt ergänzt, dass, wenn ein Parameter in der URL eine Aktion auswählt, der Besitzer dieser Ressource die Aktion deaktivieren muss, wenn sie mit einer sicheren Methode erreicht wird. Die Regel existiert, damit automatisiertes Abrufen funktionieren kann, ohne Schaden anzurichten.
Nicht jeder Dienst hält sich daran.
Einen Link melden
Wenn Sie auf einem Ihrer Dienste eine Aktion sehen, von der Sie glauben, dass sie aus unserer Analyse stammt, melden Sie sie Stoïk über Ihren üblichen Supportkanal.
Hilfreiche Angaben:
Der betroffene Dienst
Die Adresse des betroffenen Postfachs
Ungefähr wann es passiert ist
Den Link selbst, falls Sie ihn noch haben
Das Ziel wird zur Allowlist hinzugefügt, und Sie werden benachrichtigt, sobald die Änderung live ist.
Zuletzt aktualisiert
War das hilfreich?