Ataques de replay DKIM: abuso de faturas da Apple e do PayPal

Os cibercriminosos não dependem mais de truques óbvios de phishing ou de e-mails mal falsificados. Em vez disso, eles se valem cada vez mais de plataformas confiáveis, fluxos de trabalho legítimos e pequenas brechas em controles de segurança amplamente utilizados. Ao manipular processos comerciais cotidianos nos quais os usuários já confiam, os agentes de ameaças transformam infraestruturas de boa reputação em um mecanismo involuntário de disseminação de golpes, tornando as mensagens maliciosas muito mais difíceis de serem identificadas e com muito mais chances de sucesso.

O Kaseya INKY detectou ataques nos quais criminosos se aproveitam de faturas legítimas e notificações de contestação de fornecedores conhecidos, como PayPal, Apple, DocuSign e HelloSign.

Proteja-se contra e-mails maliciosos com o Kaseya Inky

Bloqueie ataques avançados de phishing e ameaças por e-mail antes que elas cheguem aos usuários com INKY

Comece agora

Essas plataformas geralmente permitem que os usuários insiram um “nome do vendedor” ou adicionem uma nota personalizada ao criar uma fatura ou notificação. Os invasores se aproveitam dessa funcionalidade para inserir instruções fraudulentas e um número de telefone nesses campos controlados pelo usuário. Em seguida, eles enviam a fatura ou a notificação de contestação resultante para um endereço de e-mail sob seu controle, garantindo que o conteúdo malicioso seja incorporado a uma mensagem legítima, gerada pelo fornecedor.

Como a mensagem se origina diretamente do provedor, como o PayPal, e é assinada criptograficamente, ela passa facilmente pelas verificações do DomainKeys Identified Mail (DKIM) e do Domain-based Message Authentication, Reporting & Conformance (DMARC). Após receber o e-mail legítimo, o invasor simplesmente o encaminha para seus alvos pretendidos. O resultado é uma mensagem que parece autêntica, passa pela autenticação de e-mail e chega às caixas de entrada com pouco ou nenhum aviso.

Essa técnica, conhecida como ataque de repetição DKIM, vem sendo cada vez mais utilizada por invasores para enganar os usuários finais e contornar os controles tradicionais de segurança de e-mail.

Como funcionam os ataques de replay do DKIM — e por que são tão eficazes

Um ataque de repetição DKIM ocorre quando um agente mal-intencionado captura um e-mail legítimo, assinado por DKIM, e, em seguida, “repeti” essa mesma mensagem para outros destinatários. Como os cabeçalhos originais e o corpo da mensagem permanecem inalterados, a assinatura DKIM continua válida. Como resultado, o e-mail passa na autenticação DMARC, mesmo sendo redistribuído por um invasor, em vez de ser entregue pelo remetente original. Para não comprometer o DKIM, os invasores evitam intencionalmente modificar a mensagem após ela ter sido assinada.

Para entender por que isso funciona, é útil analisar como funciona a autenticação de e-mail:

O DKIM anexa uma assinatura criptográfica aos cabeçalhos e ao corpo de um e-mail. O servidor de e-mail destinatário utiliza a chave pública do domínio remetente para confirmar que o conteúdo assinado não foi alterado durante o trânsito. O DKIM verifica a integridade da mensagem, mas não confirma quem realmente enviou o e-mail.
O DMARC se baseia no DKIM ou no Sender Policy Framework (SPF), verificando a correspondência entre o domínio autenticado e o endereço “De:” visível. Se o DKIM for aprovado e corresponder ao domínio “De:”, o DMARC também será aprovado.

Os invasores exploram esse comportamento para enviar conteúdo de phishing ou golpes a partir de domínios de alta reputação nos quais os destinatários já confiam. Mesmo que as verificações de SPF falhem durante o encaminhamento, uma assinatura DKIM válida e alinhada geralmente permite que o DMARC seja aprovado. Isso torna os ataques de replay de DKIM particularmente difíceis de serem detectados pelas ferramentas tradicionais de segurança de e-mail e cada vez mais atraentes para os agentes mal-intencionados que têm como alvo os usuários finais.

Ataques de replay DKIM em ação: abuso de faturas da Apple e do PayPal

A Kaseya INKY observou que agentes mal-intencionados estão se valendo ativamente de e-mails legítimos da Apple e do PayPal para realizar golpes que passam pelas verificações de autenticação e parecem confiáveis aos destinatários.

Fatura da App Store da Apple é alvo de ataques de repetição DKIM


Campo de cabeçalho	Valor
De	no_reply@email.apple.com
Para	apple02@zantigoo.com (caixa de correio do invasor)
Assunto	Confirmação da assinatura
Assinatura DKIM‑	d=email.apple.com

Fig. 2: Metadados de e-mail

Aqui está uma descrição detalhada, passo a passo, do ataque:

Obter um e-mail legítimo assinado por DKIM: O invasor cria um Apple ID e assina o aplicativo Surfshark VPN (neste caso) na App Store da Apple. Durante o processo de cadastro, ele insere um conteúdo malicioso — Para cancelar, ligue para +1 (803) 745-3821 — no campo do nome da conta. O sistema automatizado da Apple, então, gera um e-mail de confirmação da assinatura contendo esse valor e o assina usando a chave DKIM do domínio.
Assinatura DKIM válida: O cabeçalho DKIM do e-mail mostra que a Apple assinou os principais cabeçalhos e todo o corpo da mensagem. Os servidores de e-mail receptores verificam essa assinatura usando a chave DKIM pública da Apple e, portanto, marcam a mensagem como dkim=pass e dmarc=pass.
Replay: Após receber o e-mail legítimo, o invasor o encaminha para uma lista de vítimas, por exemplo, usando o Outlook ou outro cliente SMTP (Simple Mail Transfer Protocol). O encaminhamento não altera os cabeçalhos assinados nem o corpo da mensagem, de modo que a assinatura DKIM permanece válida. Embora os endereços de destinatário do envelope sejam alterados, o DMARC avalia o domínio do cabeçalho “From:” e a assinatura DKIM, e não o valor “RCPT TO” do envelope.
Entrega às vítimas: Como a mensagem se origina de um domínio confiável (email.apple.com) e todas as verificações de autenticação (DKIM e DMARC) são aprovadas, muitos filtros de e-mail a tratam como legítima. A saudação incomum — Prezado(a), Para cancelar, ligue para +1 (803) 745-3821 — pode ser o único sinal de alerta óbvio. Destinatários desavisados podem ligar para o número de telefone indicado, permitindo que criminosos coletem dados de pagamento ou informações de identificação pessoal (PII). Eles também podem instruir as vítimas a acessar sites maliciosos para instalar malware ou software de acesso remoto, ou a enviar informações por meio de formulários fraudulentos.

Fatura contestada pelo PayPal foi alvo de abuso em ataques de repetição DKIM

Aqui está uma descrição detalhada, passo a passo, do ataque:

Criar uma contestação ou fatura no PayPal com conteúdo malicioso: o invasor usa sua conta do PayPal para abrir uma contestação ou emitir uma fatura e define o “nome do vendedor” como uma mensagem fraudulenta que inclui um número de telefone. O sistema do PayPal armazena esse valor fornecido pelo usuário sem validação.
Envie o e-mail para uma caixa de correio controlada pelo invasor: o invasor envia a fatura ou a notificação do caso para um endereço de e-mail que ele controla. O PayPal gera um e-mail de confirmação a partir de service@paypal.com e a assina usando a chave DKIM do domínio. A mensagem inclui o “nome do vendedor” malicioso.
Assinatura DKIM válida: O cabeçalho DKIM do e-mail mostra que o PayPal assinou os principais cabeçalhos e todo o corpo da mensagem. Os servidores de e-mail receptores verificam essa assinatura usando a chave DKIM pública do PayPal e, portanto, marcam a mensagem como dkim=pass e dmarc=pass.
Reenvio às vítimas: O invasor encaminha o e-mail intacto às vítimas pretendidas usando seu próprio serviço SMTP. Embora o destinatário do envelope mude, o campo “Para:” do cabeçalho continua sendo o endereço do invasor, de modo que a assinatura DKIM permanece válida. Como o e-mail se origina de um domínio legítimo do PayPal e passa pelas verificações de autenticação, a maioria dos filtros de spam e antiphishing o entrega na caixa de entrada da vítima.
A vítima liga para o número fraudulento: após ver uma notificação convincente do PayPal e uma mensagem urgente sobre uma transação contestada, é provável que a vítima ligue para o número de telefone indicado. Durante a ligação, os golpistas geralmente tentam obter informações financeiras ou dados pessoais identificáveis (PII) ou persuadir a vítima a instalar um software de acesso remoto.

Por que a segurança tradicional de e-mail muitas vezes não consegue impedir ataques de repetição DKIM

Os controles tradicionais de segurança de e-mail são projetados para detectar remetentes falsificados e mensagens alteradas. Nos ataques de repetição DKIM, no entanto, os invasores utilizam e-mails totalmente legítimos e autenticados, o que permite que essas mensagens contornem as defesas que dependem fortemente de sinais de autenticação.

Os pontos comuns de falha incluem:

DKIM e DMARC válidos: a mensagem é originária da Apple ou do PayPal e foi assinada com as chaves DKIM legítimas da organização. Consequentemente, a assinatura é verificada com sucesso e o DMARC é aprovado, mesmo que o e-mail tenha sido encaminhado por um invasor.
Desalinhamento do SPF: O servidor de encaminhamento do invasor não está autorizado pelos registros SPF da Apple ou do PayPal, o que faz com que o SPF seja reprovado. No entanto, o DMARC ainda é aprovado, pois a autenticação DKIM alinhada, por si só, é suficiente para a conformidade com o DMARC.
Conteúdo fornecido pelo usuário: a Apple e o PayPal permitem que os usuários insiram texto livre nos campos de nome do vendedor ou de observações. Esse conteúdo é incluído no corpo da mensagem assinada por DKIM, permitindo que invasores insiram instruções fraudulentas ou números de telefone durante o cadastro sem invalidar a assinatura.

O Kaseya INKY detecta ameaças, como ataques de repetição de DKIM, com a GenAI

Fig. 5: O INKY detecta o texto destacado como malicioso

Melhores práticas: Orientações e recomendações

Os ataques de reenvio DKIM se aproveitam da confiança depositada em marcas conhecidas e em e-mails autenticados, tornando a conscientização e a vigilância fundamentais tanto para os usuários quanto para as equipes de segurança.

Verifique o cabeçalho “Para”: Confirme se o endereço “Para” no cabeçalho da mensagem corresponde ao destinatário pretendido. Uma discrepância entre os cabeçalhos visíveis e o destinatário do envelope pode indicar que o e-mail foi encaminhado ou falsificado por um invasor.
Desconfie de números de telefone: as notificações legítimas da Apple e do PayPal orientam os usuários a acessarem seus sites oficiais, e não a ligarem para números de telefone não solicitados. Os usuários devem evitar ligar para quaisquer números incluídos em e-mails inesperados, especialmente aqueles que alegam problemas urgentes relacionados à conta ou ao pagamento.

Ao combinar a inspeção de cabeçalhos com a conscientização dos usuários sobre táticas comuns de golpes, as organizações podem reduzir o risco de que ataques de repetição DKIM atinjam e enganem os usuários finais.

Saiba mais sobre o Kaseya Inky