Viele Mail-Programme anfällig für neue Spam-Tricks
Durch spezielle Kodierung lassen sich Anti-Spam-Techniken austricksen. Spammer können dem Empfänger damit einen beliebigen, vertrauensfördernden Absender vorgaukeln. Ein Forscher demonstriert das ausgerechnet mit Trumps "potus@whitehouse.gov".
Eines der zentralen Probleme von E-Mail ist, dass deren Absenderadressen nicht wirklich vertrauenswürdig sind, sondern sich sogar recht leicht fälschen lassen. Mit Hilfe von Anti-Spam-Techniken wie DMARC (DKIM/SPF) können Mail-Server solche Tricksereien jedoch mittlerweile oft entlarven und die Mails als Spam erkennen oder gleich ganz abweisen. Durch zusätzliche Tricks könnten Spammer das jedoch umgehen, demonstriert der Sicherheitsforscher Sabri Haddouche und nennt das ganze Mailsploit (angelehnt an den Exploit, der eine Sicherheitslücke ausnutzt).
Kodiertes Elend
Haddouche nutzt für seine Demos die Tatsache, dass E-Mail-Header, in denen der Absender aufgeführt sein muss, ausschließlich reine ASCII-Zeichen enthalten dürfen. Alle Sonderzeichen müssen gemäß dem Internet-Standard (RFC-1342) speziell kodiert sein – etwa als Base-64 oder Quoted-Printable. Dummerweise interpretieren Server beim Anwenden der DKIM-Regeln diese Zeichenfolgen oft anders als die Mail-Clients – insbesondere wenn man noch besondere Zeichen wie das Null-Byte \0 oder Zeilenumbruch \n einstreut.
Der Server sieht in den Test-Mails von Haddouche dann beispielsweise den korrekten Absender "demo@mailsploit.com" und leitet die Mail normal weiter. Clients hingegen extrahieren aus der Zeichenkette das einkodierte "potus@whitehouse.gov" und zeigen dem Anwender den US-Präsidenten als Absender an. (Wieso ein Internet-Nutzer, der seine Sinne halbwegs beieinander hat, ausgerechnet einer Mail von Donald Trump etwas glauben sollte, erklärt Haddouche dabei nicht). In einigen Einzelfällen wie Yahoo Mail kann ein Angreifer auf diesem Weg einem Mail-Programm sogar Code unterjubeln, der zur Ausführung gelangt (Cross Site Scripting, XSS).
Viele Systeme anfällig
Anfällig für diese Tricks sind laut Haddouche über 30 Email-Programme, darunter die von Apple (Mail für iOS und macOS), Microsoft (Mail für Windows 10) und Mozilla (Thunderbird bis 52.5.0). Außerdem sind demnach auch eine Reihe von Web-Mail-Plattformen wie Hushmail und Protonmail anfällig – nicht jedoch GMX, 1&1, Google-Mail und Microsoft Outlook Web.
Einige der vorab informierten Hersteller haben das Verhalten ihrer Software bereits geändert; andere wie Mozilla und Opera verorten das Fehlverhalten auf der Seite des Servers und wollen deshalb nichts unternehmen ("Won't Fix"). Haddouche stellt eine umfangreiche Tabelle mit dem Status der getesteten Plattformen als Google-Tabelle bereit. Außerdem kann man sich eine ganze Reihe von harmlosen Demo-Mails mit verschiedenen Mailsploit-Tricksereien zusenden lassen.
Update 17:15, 7.12.2017: Mozilla hat gegenüber heise Security erklärt, dass man das Verhalten von Thunderbird sehr wohl als Fehler einstufe, an dessen Beseitigung auch bereits gearbeitet wird. Eine Einstufung als "Won't fix" sei nicht erfolgt; diese Angabe von Haddouche beruhe wohl auf einem Missverständnis in der Kommunikation. (ju)
