SpamChannel

Worker alojado en vivo en https://spamchannel.haxxx.workers.dev

ACTUALIZACIÓN (13 de agosto de 2023): Dos días después de mi charla en DEFCON 31, MailChannels decidió silenciosamente exigir un Domain Lockdown Record para poder enviar correos electrónicos desde Cloudflare Workers, lo que significa que este código ya no funciona. Sin embargo, debido a que solo abordaron un "síntoma" y no el problema subyacente (falta de verificación de identidad del remitente), cualquiera aún puede registrarse en su sitio web (80$) y usar su relay SMTP "normal" para suplantar todos los dominios de sus clientes 🤷🏻‍♂️

Qué es esto

Al momento de escribir esto, permite suplantar correos electrónicos desde cualquiera de los +2 millones de dominios que usan MailChannels. También te da una probabilidad ligeramente mayor de que un correo suplantado desde cualquier dominio que no tenga SPF y DMARC llegue a su destino, gracias a la adopción de ARC.

Se presentó en la charla de Defcon 31 SpamChannel: Spoofing Emails From 2 Million+ Domains and Virtually Becoming Satan.

Las diapositivas de la charla están aquí

Soy cliente de MailChannels, ¿cómo evito que se hagan pasar por mi dominio?

En resumen: configura tu Domain Lockdown Record lo antes posible.

Charla en Defcon

Demostraciones

A continuación se muestran las demostraciones de mi charla en Defcon que muestran la suplantación de correos electrónicos usando este Cloudflare Worker.

Este video demuestra la suplantación de un correo electrónico desde un dominio configurado con DMARC + DKIM:

SpamChannel Demo 1

Este video demuestra cómo suplantar a Satán ([email protected]):

SpamChannel Demo 2

Cómo implementar esto tú mismo

1. Regístrate y crea una cuenta gratuita en Cloudflare (https://dash.cloudflare.com/sign-up)
2. Clona este repositorio
3. Instala la herramienta CLI de Wrangler (npm i -g wrangler)
4. Ejecuta wrangler login e inicia sesión en tu cuenta
5. En la raíz de este repositorio ejecuta wrangler publish

Créditos

El código se basó en el gist de @ihsangan.