Linkanalyse
Stoïk Email Security inspecteert de links die worden gevonden in de e-mails die het analyseert. Deze pagina legt uit wat onze systemen met die links doen, en hoe je een link kunt melden die met rust gelaten moet worden.
Waarom links worden herleid
Phishing verraadt zichzelf zelden in de tekst van een bericht. Het signaal zit in de bestemming: een verkorte link die uitkomt op een domein dat op het echte lijkt, of een omleidingsketen die eindigt op een domein dat drie dagen geleden is geregistreerd.
Een link lezen zoals hij is geschreven vertelt ons daar niets over. De link moet worden herleid om te zien waar hij daadwerkelijk naartoe gaat.
Wat de analyse doet
Voor elke link in een geanalyseerde e-mail stuurt Stoïk één HTTP HEAD -verzoek en volgt maximaal vijf omleidingen.
Een HEAD verzoek vraagt een server alleen om de responseheaders. Het is hetzelfde verzoek als het openen van de pagina, maar zonder de pagina-inhoud. Het wordt gebruikt in plaats van een volledige paginalaadactie, omdat dit de lichtste manier is om te achterhalen waar een link naartoe leidt.
Daaruit registreert Stoïk het einde van de omleidingsketen, het aantal hops en de reputatie van het bestemmingsdomein. Het verzoek time-out na twee seconden.
Wanneer de analyse verder gaat
Als het bestemmingsdomein verdacht lijkt, wat betekent dat het een slechte reputatie heeft, onlangs is geregistreerd of zelden wordt gezien in de mailboxen die we beschermen, wordt de pagina geopend in een geïsoleerde browseromgeving en wordt een screenshot gemaakt. Een visionmodel beoordeelt vervolgens of de pagina een toolkit voor het verzamelen van inloggegevens is, en welk merk het nabootst.
Een domein dat goed gevestigd is en vaak wordt gezien, bereikt die fase nooit. Een link naar een grote provider wordt wel herleid, maar de pagina ervan wordt nooit geladen.
Een pagina laden betekent dat de pagina zijn eigen JavaScript uitvoert, precies zoals dat in de browser van een bezoeker zou gebeuren, en een pagina kan daarbij ook zelf verzoeken doen. Die verzoeken komen van de pagina, niet van instructies die wij geven. Wanneer een pagina onbereikbaar is door een antibotuitdaging, loopt de vastlegging via een solver die de uitdaging eerst afhandelt.
Wat de analyse nooit doet
Stoïk handelt niet namens jou. Onze analyse klikt geen knop aan, vult geen formulier in en gebruikt nooit je inloggegevens. Waar een link iets zou activeren enkel door het feit dat hij wordt opgevraagd, wordt hij helemaal niet opgevraagd: zie Links die volledig worden overgeslagen.
Uitzondering: platforms voor het delen van bestanden
Aanvallers laten een groeiend deel van hun phishing via legitieme bestandsdelingsdiensten lopen. Een document dat via een bekend platform wordt gedeeld, leent de reputatie van dat platform en passeert de meeste filters, terwijl de valstrik in het gedeelde bestand zit. Zo'n e-mail beoordelen betekent lezen wat er daadwerkelijk is gedeeld.
Deze platforms geven een gedeeld document niet door aan een gewone paginalaadactie. Om er één te bereiken, moet het verzoek worden gedaan dat het platform ervoor definieert: een query naar de eigen API, of de anonieme authenticatiestap die een deel-link uitvoert met behulp van de sleutel die al in de link zit.
Stoïk doet dit alleen op de platforms die het expliciet ondersteunt, en alleen met wat de link al meebrengt.
Links die volledig worden overgeslagen
Sommige links veranderen iets op het moment dat ze worden opgevraagd, zelfs door een HEAD. Een link voor elektronische handtekening kan een document als bekeken markeren of een eenmalige token gebruiken. Een link voor een quarantainedigest kan een geblokkeerde e-mail vrijgeven. Een link om je met één klik af te melden haalt de ontvanger van een mailinglijst, en een link voor een kalenderuitnodiging kan een RSVP registreren.
De HTTP-standaard is hier duidelijk over. RFC 9110, sectie 9.2.1, definieert GET en HEAD als veilige methoden: een client die er één verstuurt, vraagt noch verwacht enige wijziging van de toestand op de server. In dezelfde sectie staat ook dat wanneer een parameter in de URL een actie selecteert, de eigenaar van die bron die actie moet uitschakelen wanneer deze met een veilige methode wordt bereikt. De regel bestaat zodat geautomatiseerde opvraging zonder schade kan werken.
Niet elke service houdt zich daaraan.
Een link melden
Als je op een van je services een actie ziet waarvan je denkt dat die afkomstig is van onze analyse, meld die dan aan Stoïk via je gebruikelijke supportkanaal.
Nuttige details:
De betrokken service
Het adres van de getroffen mailbox
Ongeveer wanneer het gebeurde
De link zelf, als je die nog hebt
De bestemming wordt aan de allowlist toegevoegd, en je krijgt bericht zodra de wijziging live is.
Laatst bijgewerkt
Was dit nuttig?