Email Header Analysis — Phishing من جوّه

ليه تحليل الإيميل أساسي لكل محقق

حوالي 90% من اختراقات الشركات بتبدأ بإيميل. صدّقني..

كمحلل SOC أو IR، هتفتح phishing من user reports 5 لـ 20 مرة في اليوم. ده مش حاجة هتأجلها. مش هتبقى محلل وأنت ما تعرفش تقرا headers. مش هتبقى IR وأنت ما تعرفش تفرّق بين BEC وphishing عادي. ولا تتمنى.

بنية الـ Email — ما يهمّ فعلاً

SPF / DKIM / DMARC — الحراس الثلاثة

• SPF (Sender Policy Framework) — DNS TXT يحدد أي IPs مسموح لها إرسال إيميل لهذا النطاق. يفحص Return-Path.
• DKIM (DomainKeys Identified Mail) — توقيع cryptographic على parts من الإيميل. مفتاح public في DNS.
• DMARC — سياسة تحدد ماذا يحدث لو فشل SPF و DKIM (none/quarantine/reject)، و تطلب alignment بين From: و الـ authenticated domain.

# سجلات DNS مثال
# SPF
target.gov. TXT "v=spf1 include:_spf.google.com ip4:1.2.3.4 -all"

# DKIM (selector "google")
google._domainkey.target.gov. TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb..."

# DMARC
_dmarc.target.gov. TXT "v=DMARC1; p=reject; rua=mailto:dmarc@target.gov; pct=100; aspf=s; adkim=s"

حيل الـ phishing اللي لازم تعرفها

1. Display name spoofing — "CEO Name" <random@gmail.com>. الـ From الظاهر صحيح، الفعلي مزيّف. SPF/DMARC لا يفحصان display name.
2. Lookalike domains (typosquatting) — microsoft-support.com, paypa1.com, target-gov.com. حروف Cyrillic مشابهة لـ Latin (homoglyph).
3. Punycode — xn--target-2sa.com يظهر كـ tárget.com.
4. Compromised legitimate domain — مهاجم اخترق mail server شركة أخرى و يرسل من نطاقها (DMARC pass!).
5. Reply-to manipulation — From شرعي، Reply-To مختلف. الرد يذهب للمهاجم.
6. HTML smuggling — مرفق HTML يحوي JavaScript يبني payload في الـ browser محلياً. لا download مرئي.
7. Link rewriting bypass — استخدام redirector شرعي (Google, t.co, bit.ly، أو حتى موقع Microsoft نفسه عبر safelinks).
8. QR codes (quishing) — صورة QR تتجاوز URL scanners. المستخدم يمسحها بهاتف خارج الحماية.

منهجية تحليل — خطوة بخطوة

1. اطلب الإيميل بـ headers كاملة (.eml أو .msg). لا تكتفِ بـ screenshot.
2. افحص Authentication-Results أولاً. SPF/DKIM/DMARC؟
3. اقرأ Received chain من الأسفل للأعلى. ما أول mail server؟ هل من نطاق المرسِل المُدّعى؟
4. قارن From, Reply-To, Return-Path. هل تتطابق؟
5. افتح في sandbox فقط. لا تشغّل المرفق على workstation.
6. استخرج IOCs: sender IP, sender domain, URLs (defang!), attachment hashes.
7. افحص URLs على VirusTotal / urlscan.io. لكن لا تفتح الـ URL مباشرة على شبكة الشركة.
8. افحص hashes على VT. ابحث في threat intel الداخلي عن مرات سابقة.
9. وثّق و حدّد scope. كم مستخدم استلم؟ كم نقر؟ هل أحد دخل credentials؟
10. Containment: حذف من mailboxes (Microsoft 365: Search-Mailbox أو ContentSearch + PurgeAction)، block sender domain، أضف URL لـ blocklist.

أدوات التحليل

# تحليل headers سريع
# https://mha.azurewebsites.net (Microsoft Header Analyzer)
# https://mailheader.org/

# على CLI
cat phish.eml | grep -E "^(From|To|Subject|Reply-To|Return-Path|Received|Authentication-Results):"

# استخراج URLs
cat phish.eml | grep -oE 'https?://[^[:space:]"<>]+' | sort -u

# استخراج المرفقات
ripmime -i phish.eml -d ./attachments
# أو
munpack phish.eml

# hash المرفق
sha256sum ./attachments/*

# اطّلع على مرفق Office دون فتحه
oletools/olevba.py malicious.docm           # macros
oletools/oleobj.py malicious.docm           # embedded objects
oletools/oleid.py malicious.docm

# إيميل بـ HTML smuggling
grep -E 'window.atob|FileSaver|saveAs' attached.html

# URLs و screenshots بأمان
urlscan.io        # screenshot + DOM + IOCs
any.run           # interactive sandbox للـ malware

# Blue team — Microsoft Defender for Office 365
# Threat Explorer → URL/file/sender filters
# Submissions: report ↔ admin review

Business Email Compromise (BEC) — لا تشبه phishing

BEC لا يحوي malware عادةً. مهاجم يخترق أو ينتحل حساباً تنفيذياً ثم يطلب تحويل أموال، تغيير معلومات بنكية لمورّد، أو تسريب W-2 forms. الضرر السنوي عالمياً > $50 مليار حسب FBI IC3.

إجراءات: callback verification برقم معروف مسبقاً (لا الرقم في الإيميل). فعّل MFA على كل executive accounts. راقب Inbox Rules غير المعتادة (Microsoft 365 audit log).

Federal context — IC3 و reporting

الحماية — الطبقات اللي لازم تتبني

1. Email gateway (Proofpoint, Mimecast, Microsoft Defender for Office 365) — sandboxing، URL rewriting، attachment detonation.
2. DMARC على p=reject لكل النطاقات — حتى parked ones.
3. External email banner — "هذا الإيميل من خارج المؤسسة" — يقلل clicks بنسبة كبيرة.
4. MFA على كل user — phishing الذي يسرق password وحده يفشل.
5. Conditional Access — login من device غير معتاد يطلب re-MFA.
6. User reporting button ("Report Phishing") مدمج في Outlook/Gmail.
7. Tabletop training — ليس phishing simulation فقط؛ تدريب CFO على verification protocols.
8. Detection على inbox rules الجديدة (forward-to-external، delete-on-receive).

غلطات الـ junior — اللي بتحرق التحقيق

الخلاصة الناشفة

الـ user اللي بلّغ عن phishing = ميزة. اللي ما بلّغش = خطر.

الـ analyst اللي بيقفل من غير ما يفحص = البيت التاني للـ attacker.

اكتبها على ظهر إيدك: Always read the headers. Always. مفيش shortcut.