收到“來自自己”的敲詐郵件，請不要驚慌

摘要： 前言 近期，安天CERT（安全研究與應急處理中心）接收到來自客戶反映的收到自己郵件地址傳送給自己的恐嚇郵件，勒索比特幣的事件，經分析發現這是自10月份以來新的詐騙手法。 一、概述 由於郵件信頭的發信人地址可以任意偽造，詐騙者通過將發信人郵箱偽造成受害者的收信郵箱，讓受害者...

前言

近期，安天CERT（安全研究與應急處理中心）接收到來自客戶反映的收到自己郵件地址傳送給自己的恐嚇郵件，勒索比特幣的事件，經分析發現這是自10月份以來新的詐騙手法。

一、概述

由於郵件信頭的發信人地址可以任意偽造，詐騙者通過將發信人郵箱偽造成受害者的收信郵箱，讓受害者收到一封“來自自己的郵件”，以此讓受害者相信自己的郵箱“已經被控制”；之後，詐騙者則進一步欺騙受害者，稱其裝置也被安裝了木馬，且一直處於監控中，恐嚇受害者向指定比特幣錢包匯入指定金額消災。

網路上已經有大量使用者反映收到了使用該類手法的詐騙郵件，檢視詐騙者預留的比特幣錢包發現已有不少受害者上當，且目前仍然有受害者在向詐騙者匯入虛擬貨幣，其總計價值已有上萬美金。

目前流行的這類郵件是單純的恐嚇性詐騙郵件，可以直接忽略並刪除，受害者的郵箱和機器並未受到入侵和控制。

二、詐騙郵件事件分析

根據使用者反饋的相關詐騙郵件，這類郵件的標題為：“受害者郵箱地址”+“was hacked”。郵件正文內容基本包含以下幾方面：

1）聲稱自己是來自“暗網”的黑客（如waite23/kurtis09/hugibert19/murry02等虛假ID），警告受害者郵箱賬號已被盜取，不相信的話請檢視收信人是否來自於受害者自己。
2）表示受害者的機器已感染了自己注入的木馬且遭受了長期監控，使用者上網記錄和本地資料能夠被隨意訪問，受害者修改密碼也不再管用等。
3）只要在48小時內向指定比特幣地址裡匯入指定金額（例如500美金），就會刪除木馬並停止攻擊行為。
4）有的還會繼續傳送郵件並提高金額。

圖1. 該類手法詐騙郵件的典型案例，使用者收到“來自自己的郵件”

這屬於典型的Sextortion騙局，這是一類常見的網路詐騙手段。詐騙者在並未侵入受害者的信箱和裝置的情況下，通過一系列的“證據”，譬如“展示受害者曾經洩露過的賬號密碼”等手法對受害者進行恐嚇，稱其郵箱已被盜用、裝置遭到了真實的黑客入侵，然後聲稱一直在記錄受害者訪問成人網站等不當內容時的螢幕和攝像頭，如果受害者不向詐騙者指定的比特幣錢包付款，就會將這些事情公之於眾。

圖2. 詐騙者承諾48小時內付款將停止侵犯受害者隱私

而通過讓受害者收到“來自自己的郵件”來證明受害者郵箱已被黑客盜取的詐騙手段是最近一段時間才出現的。普通網民如果不清楚郵件的信頭可以任意偽造這一事實的話，很容易被詐騙者欺騙。

在我們獲取到的數十份郵件樣本中，詐騙者選取的收款地址全部是比特幣錢包“1MN7A7QqQaAVoxV4zdjdrnEHXmjhzcQ4Bq”。經查詢得知，自2018年10月13日起該收款地址共收到受害者匯入的1.61651067枚比特幣，按照當前兌換價格計算，金額超過一萬美元，截至目前仍有受害者在向其匯款。

圖3. 詐騙者預留比特幣地址收到大量的受騙者匯款

由於郵件傳送使用的SMTP協議的信頭可以任意構造，部分郵件服務商轉發郵件不進行相互認證，因此其“from：”欄位可以任意修改，在郵件中顯示為任意發信人。但對多數主流郵件服務商（ESP），這種郵件都會被反垃圾郵件功能主動攔截過濾，市面上常見的郵箱提供商都支援對此類垃圾郵件的過濾功能，包括直接拒絕接收該郵件。

客戶需檢查所使用的郵件系統是否配置了垃圾郵件過濾器或者需要更換更安全的郵件系統。

另外，根據BITCOINWHOSWHO提供的資料：自2018年9月份以來，有來自42個國家的大量受害者聲稱收到了使用各種不同手法的類似Sextortion的詐騙郵件。報告中稱蒐集到了621個比特幣錢包地址，詐騙者通過這種敲詐手法共收到高達540.27603866個比特幣的贓款，給受害人帶來了很大的經濟損失。

三、總結

這一系列敲詐郵件，事實上是敲詐者通過偽造郵件信頭資料，讓受害者收到一封“來自自己的郵件”，以此讓被敲詐者相信其信箱被入侵了。但實際上，使用者的郵箱賬號和機器並未受到詐騙者的入侵和控制，切不可私下給詐騙者匯款以防上當受騙。

儘管這類敲詐收發並非由於郵件遭到入侵導致，但郵件仍是最易被攻擊的入口，我們對電子郵件的使用者和郵件系統搭建維護者提出如下建議：

使用者電子郵件安全防護可參考以下防範建議：

1. 提高個人安全意識，收發郵件時確認收發來源是否可靠，不要隨意點選或者複製郵件中的網址，不要輕易下載來源不明的附件，建議對陌生人郵件一律不開啟。
2. 儘量不在非可控環境下登入電子郵件，如網咖的電腦、其他人的電腦等。
3. 確保郵件收發和登陸終端系統的環境安全（PC、手機、PAD等），及時升級更新和進行漏洞補丁修復，安裝終端安全防護軟體並及時升級開啟監控，確保郵件收發的環境安全。
4. 郵箱密碼必須使用強密碼（例如：密碼長度大於12位字元，且必須為數字、英文大小寫字母、特殊字元組合），並定期更換密碼；密碼不得與其他服務混用。
5. 如使用郵件客戶端，確保客戶端安裝程式的安全性，按照郵件伺服器支援的加密連結方式（如SSL）配置郵件收發，而不要使用明文協議收發郵件；對郵件客戶端資料檔案所在卷，建議採用卷加密（如Bitlocker）。
6. 如使用瀏覽器收發郵件，需要使用HTTPS協議登陸信箱，而不要使用HTTP登陸。
7. 按照組織規定規範郵件簽名。
8. 郵箱地址不要隨意傳播，減少攻擊者找到攻擊入口的可能；必須公開郵件地址的，可以把@符號用其他符號替換，避免被爬蟲爬取識別後，成為垃圾郵件和攻擊郵件群發的目標。

企業郵件系統要確保安全有很多系統的工作，在這裡我們給出一些可以參考的文獻：

1. 配置安全管理和使用電子郵件策略：包括電子郵件許可權、收發使用者身份設定、電子郵件內容限制、電子郵件附件要求、郵件傳輸協議安全、異常郵件監控、使用者備份和歸檔儲存等，具體可參考《資訊保安策略編制指南-L9電子郵件安全策略》。
2. 保障郵件系統所在的網路安全：包括網路結構安全、入侵防範和安全審計等，可參考《可管理的網路計劃V4.0（NSA/IAD）》[4]。
3. 保障郵件系統軟硬體安全：包括伺服器、作業系統、資料庫的安全防範策略，可參考《DISA安全技術實施指南STIG》[5]。
4. 確保郵件系統的物理和管理安全：包括訪問控制、管理制度等，具體可參考《YD/T 3161-2016郵件系統安全防護要求》。

參考連結

1. ofollow,noindex" target="_blank">https://www.cisco.com/c/en/us/products/collateral/security/email-security-appliance/whitepaper_C11-737596.html

2. pingcomputer.com/news/security/new-sextortion-scam-pretends-to-come-from-your-hacked-email-account/" rel="nofollow,noindex" target="_blank">https://www.bleepingcomputer.com/news/security/new-sextortion-scam-pretends-to-come-from-your-hacked-email-account/

3. https://bitcoinwhoswho.com/blog/2018/09/30/42-countries-report-sextortion-email-scam/

4. https://cryptome.org/2016/01/nsa-16-0114.pdf

5. https://iase.disa.mil/stigs/Pages/index.aspx#

*本文作者：antiylab，轉載請註明來自FreeBuf.COM