標題：MailSec Lab 電子郵件安全熱點分析報告

概要：Bounce類釣魚郵件激增

本週（2023年7月17日~21日），思安麥賽安全實驗室觀察到大量增加的Bounce釣魚郵件，請各單位和企業做好相關的防護。

熱點描述：

關於此批Bounce釣魚郵件，如下圖所示：

圖1. Bounce釣魚郵件樣本

為了隱藏真實身份並躲避欲攻擊對象所在公司的郵件安全檢測，防止攻擊郵件被攔截，黑客偽造並使用目標攻擊對象的郵件地址作為發件人郵件地址，並故意將郵件投遞給一個知名公司的不存在郵件地址。因為收件人地址不存在，該知名的公司的郵件服務器會向發件人地址發送bounce退信郵件，通知該發件人郵件投遞失敗。

當被攻擊對象所在公司的郵件服務器收到bounce退信郵件後，因為該郵件來自於知名公司，所以會正常的接收該退信郵件並將郵件放置到發件人的收件箱。一旦員工打開退信郵件的附件後，將查看到黑客發送來的威脅信息：

圖2. 含威脅信息的郵件

專家分析：

思安麥賽安全實驗室的專家對此郵件的風險特徵進行了技術分析。

分析1：源IP地址

對bounce退信郵件的附件進行分析，根據郵件頭的指定字段可知，該惡意郵件的來源IP地址（攻擊者IP地址）是121.52.144.171。

圖3. 郵件頭部源IP字段展示

該IP地址位於“巴基斯坦/旁遮普邦/拉瓦爾品第”地區，網絡服務商為“HEC”。當前該IP地址下使用了“華為USG6630防火牆”和“騰達路由器”設備，說明該IP地址下的組織很大概率為一個正常運行的企業或服務商，而黑客攻陷或租用了該組織的計算機，並使用該計算機發送了Bounce攻擊郵件，而非使用私人網絡環境發起攻擊。

圖4. 該IP下的華為USG6630防火牆

圖5. 該IP下的騰達路由器

與此同時，查詢該IP地址的信譽可知，此IP地址所在的網段，曾經存在大量惡意IP地址：

圖6. 該IP網段下曾存在大量惡意IP地址

分析2：偽造發件人地址

攻擊者從位於巴基斯坦的計算機上，偽裝為國內某家知名公司的員工，向馬來西亞一家金融機構發送了攻擊郵件。該馬來西亞公司的郵件設備，嘗試對發件人郵件地址進行了SPF和DKIM驗證，驗證發件人地址的有效性。然而很可惜，該國內知名公司的域名並未開啟相關的郵件防偽造檢測機制。因此馬來西亞公司的郵件設備未拒絕該郵件，並因為收件人在該公司不存在，而向中國公司發出了退信郵件。

圖7. 被攻擊公司未開啟郵件防偽造機制

圖8. 通過了對發件人地址有效性的驗證

分析3：郵件攻擊鏈路溯源

經分析此郵件的完整攻擊溯源圖9如下所示：

總結與攻擊溯源：

經思安麥賽安全實驗室的分析測試，我們認為此“Bounce釣魚”郵件樣本含有的風險特徵包括：

攻擊起源IP地址下的組織很大概率為一個正常運行的企業或服務商，而黑客攻陷或租用了該組織的計算機，並使用該計算機發送了Bounce攻擊郵件；

攻擊起源IP地址所在的網段，曾經存在大量惡意IP地址；

攻擊者偽裝為國內某家知名公司的員工發送郵件，該中國公司的域名並未開啟相關的郵件防偽造檢測機制；

郵件正文內容中含比特幣、匯款、賬戶等敏感詞彙。

防范建議：

Bounce釣魚郵件是一種郵件攻擊手段，通常用於隱蔽地向攻擊目標發送惡意內容，而避免直接暴露攻擊者的郵件地址，並躲避被攻擊目標組織的郵件安全檢測。

要防範Bounce釣魚郵件應遵循如下一些安全實踐：

1. 本域名郵件地址驗證：實施SPF、DKIM和DMARC等發件人驗證技術，從而幫助第三方組織驗證郵件的真實來源；

2. 警惕緊急情況：釣魚郵件常常試圖製造緊急情況，以迫使受害者匆忙採取行動。要保持冷靜，不要受到威脅或誘惑；

3. 使用郵件安全防護設備：部署可靠且穩定的郵件安全網關、郵件安全沙箱等郵件安全防護設備；

4. 定期檢查安全防護設備：確保郵件安全防護設備的策略配置正確且生效，並確保設備的防護庫已升級到最新版本；

5. 培養安全意識：加強員工和自己的安全意識培訓，教育他們如何識別潛在的惡意郵件，並提醒他們不要隨意打開可疑的附件；

6. 鼓勵員工報告可疑郵件：如果收到可疑郵件，員工應及時將其報告給您的組織或相關機構，以幫助企業採取適當的行動保護其他員工；

7. 驗證財務交易：如果收到涉及財務交易的電子郵件，避免通過郵件直接響應。相反，通過銀行官方網站、銀行櫃檯、財務部同事等安全渠道來驗證交易。

8. 防止個人和郵件信息洩露：盡量不要在公開的論壇、社交媒體或不受信任的網站上洩露個人和郵件信息。攻擊者可能會利用這些信息來製作更具針對性的釣魚郵件；

麥賽安全實驗室（MailSec Lab）介紹：

北京網際思安科技有限公司麥賽郵件安全實驗室（MailSec Lab）依託於網際思安過去12年積累的郵件威脅數據，匯集了一批10+工作經驗的行業專家，專注於新型郵件威脅的調研，和下一代郵件安全技術的創新性研究。在過去十多年中，MailSec Lab服務於3000+家各個行業領域的典範客戶，獲得客戶的廣泛讚譽。與此同時，實驗室積極與國際和國內知名信息安全廠商合作，廣泛開展威脅情報互換、共同研究等合作，構建共同防禦的威脅防護體系。