SpamChannel

Worker live ospitato su https://spamchannel.haxxx.workers.dev

AGGIORNAMENTO (13 ago 2023): Due giorni dopo il mio talk al DEFCON 31, MailChannels ha silenziosamente deciso di richiedere un Domain Lockdown Record per inviare email da Cloudflare Workers, il che significa che questo codice non funziona più. Tuttavia, dato che hanno affrontato solo un "sintomo" e non il problema di fondo (mancanza di verifica dell'identità del mittente), chiunque può ancora registrarsi sul loro sito (80$) e usare il loro relay SMTP "normale" per spoofare tutti i domini dei loro clienti 🤷🏻‍♂️

Cos'è questo

Al momento della scrittura, questo permette di spoofare email da qualsiasi dominio tra i +2 milioni di domini che utilizzano MailChannels. Inoltre offre una probabilità leggermente maggiore che le email spoofate provenienti da qualsiasi dominio privo di SPF e DMARC vengano recapitate, grazie all'adozione di ARC.

È stato presentato al talk del Defcon 31 SpamChannel: Spoofing Emails From 2 Million+ Domains and Virtually Becoming Satan.

Le slide del talk sono qui

Sono un cliente MailChannels, come posso impedire alle persone di impersonare il mio dominio?

In breve: imposta il tuo Domain Lockdown Record al più presto.

Talk Defcon

Demo

Di seguito le demo del mio talk al Defcon che mostrano lo spoofing di email tramite questo Cloudflare Worker.

Questo video mostra lo spoofing di un'email da un dominio configurato con DMARC + DKIM:

SpamChannel Demo 1

Questo video mostra come impersonare Satana ([email protected]):

SpamChannel Demo 2

Come fare il deploy da solo

1. Registrati e crea un account gratuito su Cloudflare (https://dash.cloudflare.com/sign-up)
2. Clona questo repository
3. Installa il tool CLI Wrangler (npm i -g wrangler)
4. Esegui wrangler login e accedi al tuo account
5. Nella root di questo repository esegui wrangler publish

Crediti

Il codice è basato sul gist di @ihsangan.