Manual Collection - Email Artifacts

Dans cette leçon, nous allons vous apprendre à récupérer des artefacts provenant d'e-mails, de sites Web et de fichiers à partir d'e-mails malveillants. Ils sont importants pour recueillir davantage d'informations sur l'attaque et pour prendre les mesures défensives appropriées pour protéger l'entreprise. Pour collecter les e-mails et les artefacts Web, nous utiliserons un client de messagerie et un éditeur de texte. Pour collecter des artefacts basés sur des fichiers, nous utiliserons PowerShell (ou un Linux terminal si vous n'utilisez pas le système d'exploitation Windows).

Les analystes ne doivent jamais analyser les e-mails de phishing sur un système d'entreprise ou personnel. Il est recommandé de toujours utiliser une machine virtuelle ou un système « sale », tel qu'un ancien ordinateur portable ou un ordinateur spécialement conçu pour des tâches de sécurité risquées, telles que l'analyse de programmes malveillants ou la recherche de sites Web suspects. Les entreprises adopteront des approches différentes quant à ce que leur équipe de sécurité peut et ne peut pas faire. Pour ces activités, nous avons veillé à ce que tout soit sécurisé afin que vous puissiez effectuer une analyse sur votre système hôte, mais prendre l'habitude d'utiliser une machine virtuelle n'est pas une mauvaise idée !

Liste des artefacts envoyés par e-mail

Les artefacts d'e-mail les plus simples à récupérer sont les suivants :

• Adresse d'envoi
• Ligne d'objet
• Destinataires (sauf s'ils sont en BCC)
• Date et heure

Cela est dû au fait qu'ils sont immédiatement disponibles dans le client de messagerie. Nous verrons ci-dessous comment les obtenir à l'aide d'un client de messagerie tel qu'Outlook (ou vous pouvez utiliser Thunderbird), et comment les récupérer à l'aide d'un éditeur de texte (nous utiliserons Sublime Text 2).

Extraction du client de messagerie

Nous pouvons utiliser des clients de messagerie pour récupérer des indicateurs courants très rapidement et facilement. En consultant notre exemple d'e-mail dans le client Outlook de Microsoft, nous pouvons immédiatement récupérer quatre artefacts :

1. Ligne d'objet = Bonjour

2. Adresse d'envoi = bobtom112233@gmail.com

3. Date et heure = Lundi 16 septembre 2019 à 17h33

4. Destinataire (s) = contact@dicksonunited.co.uk

Extraction dans un éditeur de texte

Bien que nous puissions obtenir la majorité des artefacts d'e-mail dont nous avons besoin auprès d'un client, nous devons collecter des informations supplémentaires, telles que l'adresse IP du serveur d'envoi (quel serveur a envoyé l'e-mail) et l'adresse de réponse (à laquelle toutes les réponses au courrier électronique seront envoyées ; il ne s'agit pas toujours de l'expéditeur initial). Vous pouvez facilement les obtenir en téléchargeant l'e-mail au format de fichier .eml ou .msg et en ouvrant le fichier avec un éditeur de texte.

Lorsque l'e-mail s'ouvre dans l'éditeur de texte, il produit un long document qui semble extrêmement long et compliqué. Mais ne vous inquiétez pas, nous ne recherchons que certaines parties spécifiques et nous pouvons facilement y accéder à l'aide de la fonction de recherche (CTRL+F).

La première chose que nous voulons collecter est l'adresse IP du serveur d'envoi, également appelée adresse IP X-sender-IP. Appuyez sur CTRL+F (ou l'équivalent de votre système d'exploitation) et recherchez « IP ». La première chaîne que vous trouverez doit être l'adresse IP de X-sender-IP (sinon, continuez à cliquer sur « Rechercher » ou « Rechercher précédent » jusqu'à ce que vous la trouviez).

Maintenant que nous avons l'adresse IP, nous devons convertir l'adresse en nom d'hôte. Nous pouvons le faire en effectuant une recherche DNS inversée. Nous vous recommandons d'utiliser le service en ligne gratuit de Domain Tools — https://whois.domaintools.com/. Si nous saisissons l'adresse IP du serveur d'envoi que nous venons de recevoir

(https://whois.domaintools.com/209.85.167.42), nous pouvons récupérer des informations sur le serveur.

Dans la capture d'écran ci-dessus, nous pouvons voir que l'hôte est Mail-if1-f42.google.com, un serveur d'envoi Gmail. Parfois, le domaine de l'adresse d'envoi et l'adresse IP d'envoi peuvent ne pas correspondre. Si l'expéditeur est bob@gmail.com mais que l'adresse IP appartient à Outlook, nous savons que l'adresse d'envoi a été falsifiée. Nous aborderons ce point dans une prochaine leçon.

Ensuite, nous devons récupérer l'adresse de réponse. Dans la capture d'écran ci-dessous, à l'aide d'un autre exemple d'e-mail, nous avons utilisé la fonction de recherche de Sublime Text 2 pour rechercher la chaîne « reply ». Nous avons maintenant identifié l'adresse qui recevrait les réponses à cet e-mail.

Conclusion

Vous devriez maintenant être en mesure d'extraire les artefacts suivants d'un e-mail suspect :

• Adresse d'envoi
• Ligne d'objet
• Destinataire (s)
• Date et heure
• IP du serveur d'envoi
• DNS inversé de l'adresse IP du serveur d'envoi
• Répondre à (si présent)