Social Engineering Technik: SMTP Smuggling

Table of Contents

SMTP Smuggling ist eine Angriffstechnik, bei der Angreifer Schwachstellen im SMTP (Simple Mail Transfer Protocol) ausnutzen, um Sicherheitsmechanismen wie SPF, DKIM und DMARC zu umgehen. Die Technik basiert darauf, dass unterschiedliche SMTP-Server (Outbound und Inbound) die End-of-Data-Sequenz (.) unterschiedlich interpretieren können. Dies ermöglicht es Angreifern, in den E-Mail-Fluss einzudringen und eigene SMTP-Befehle zu injizieren oder separate E-Mails zu senden. Durch gezielte Manipulation der SMTP-Daten können sie E-Mails mit gefälschten Absenderadressen versenden, die als legitim erscheinen, obwohl sie es nicht sind. Dies kann für Phishing und andere betrügerische Aktivitäten ausgenutzt werden.

Beispiel:

CONNECT smtp.server.com 587
SEND "HELO client.example.com"
SEND "MAIL FROM: <angreifer@example.com>"
SEND "RCPT TO: <ziel@victim.com>"
SEND "DATA"
SEND "From: legitimer-absender@example.com"
SEND "To: ziel@victim.com"
SEND "Subject: Wichtige Nachricht"
SEND "Hier ist der normale Nachrichteninhalt."
SEND "<CR><LF>.<CR><LF>"  // Normales Ende der Nachrichtendaten
SEND "RCPT TO: <weiteres-ziel@victim.com>"  // Manipulierter Befehl nach dem normalen Ende
SEND "DATA"
SEND "From: angreifer@example.com"
SEND "To: weiteres-ziel@victim.com"
SEND "Subject: Gefälschte Nachricht"
SEND "Dies ist eine gefälschte Nachricht, die durch SMTP Smuggling geschickt wird."
SEND "<CR><LF>.<CR><LF>"  // Ende der manipulierten Nachricht
SEND "QUIT"

Gemeinsamkeiten zur HTTP Smuggling Technik

SMTP Smuggling hat Parallelen zu HTTP Smuggling in der Art, wie es Schwachstellen in der Kommunikation zwischen Servern ausnutzt. Beide Techniken beruhen auf Inkonsistenzen in der Verarbeitung von Protokollspezifikationen durch unterschiedliche Server. Im Falle von SMTP Smuggling geht es um unterschiedliche Interpretationen der End-of-Data-Sequenz in E-Mail-Protokollen, während bei HTTP Smuggling Unterschiede in der Verarbeitung von HTTP-Headern wie “Content-Length” und “Transfer-Encoding” ausgenutzt werden. In beiden Fällen ermöglicht die Schwachstelle einem Angreifer, unautorisierte Daten oder Befehle einzuschleusen und so Sicherheitsmechanismen zu umgehen.

Tags :

Related Posts

Das Erpresser Bot-Netz QakBot wurde reaktiviert

QakBot, auch bekannt als QBot, QuackBot und Pinkslipbot, ist in einer neuen Phishing-Kampagne wieder aufgetaucht, die auf die Hotelleriebranche abzielt. Dieses Wiederauftauchen erfolgt Monate nachdem eine internationale Strafverfolgungsaktion, genannt “Operation Duck Hunt”, das QakBot-Botnetz erfolgreich zerschlagen hat. Die Aktion umfasste die Beschlagnahmung von 52 Servern und die Entfernung des Malware-Laders von über 700.000 betroffenen Computern weltweit, sowie die Beschlagnahmung von über 8,6 Millionen US-Dollar in Kryptowährung von der für QakBot verantwortlichen Cyberkriminellen-Organisation.

Read More

Berliner Forschern gelingt es in Tesla-Modellen den "Elon-Modus" freizuschalten.

Drei Berliner Forschungsstudenten haben einen Weg gefunden, sich in das Autopilot-System von Tesla einzuhacken und den sogenannten “Elon-Modus” freizuschalten.

Read More

Web-Injection Attacken auf Banktransaktionen haben 2023 wieder zugenommen

Webinjektionen, eine bevorzugte Methode verschiedener Banking-Trojaner, haben in der Cyberkriminalität wieder zugenommen. Eine neue Malware-Kampagne, die seit Anfang 2023 über 40 Banken in Nordamerika, Südamerika, Europa und Japan betrifft, nutzt JavaScript-Webinjektionen, um sensible Informationen zu kompromittieren. Sicherheitsforscher vermuten eine Verbindung zur DanaBot-Malware. Die Kampagne zielt darauf ab, beliebte Bankanwendungen zu kompromittieren und Benutzeranmeldeinformationen abzufangen. Die Malware wird über ein extern gehostetes Skript geliefert, das in die Kopfzeile der HTML-Dokumente der Webseite eingefügt wird. Der Code ist absichtlich verschleiert und dynamisch, wobei er kontinuierlich Befehle vom Kontrollserver erhält und sich anpasst. Die Tricks der Hacker sind sehr subtil, am Ende geht es aber darum, webseiten auf denen bezahlt werden soll so zu manipulieren, dass Eingaben zu Passwörtern, Nutzernamen und Zahlungsinformationen abgegriffen werden, indem die Formulare manipuliert werden und anschliessend eine Fehlermeldung im Stil - die gewünschte Transaktion konnte nicht durchgeführt werden, versuchen Sie es bitte später nochmal - angezeigt wird, obwohl im Hintergrund bereits die Daten versand wurden, jedoch an die Hacker.

Read More