以后再也不敢查看邮件了

本文通过分享实际攻防演练中真实案例，防守方在未暴露任何敏感信息的情况下，仅通过邮件往来最终溯源到攻击方相关真实信息。

客户在看完防守方溯源工作后坦言道：以后再也不敢收你们给我发来的邮件了。

作为攻击溯源技术的引子，供各位从业和爱好者交流学习。

场景描述

攻击者伪造邮件，称其申请防守方靶标系统测试账号，诱骗防守方为其开通系统账号权限。防守方通过相关话术及技术，最终溯源到攻击方成员。

场景再现

某日在攻防演练日常防守过程中，业务小组成员收到主题为“申请XXXX账号”的邮件，邮件内容为系统内张一（化名）需要使用系统，请管理员为其新建账号密码。

经与张一本人确认邮件中工作单位、研究方向、联系方式等属实，但邮件为他人冒充发送，故第一时间反馈研判分析小组。

简单分析

通过导出邮件为eml格式，并以文本格式查看后，获取到其邮件中关键信息如下（已脱敏）：

分析其使用的zhangyi@21cn.com邮箱，发现其为攻击者特意注册针对员工张一姓名全拼的21cn.com邮箱。

反制邮件

鉴于钓鱼邮件中手机号码为张一本人而非攻击者手机号码，经决策后防守方拿出多年积累的花式话术，回复其邮件称密码已发送短信至手机，并在签名处加入防守方可控的图片：

随后，在防守方服务器上监控签名处图片访问情况，发现攻击者于当日晚间23点、次日上午9点左右多次查看收件箱：

故此，获取到攻击者信息如下：

再次钓鱼

次日，防守方收到第二封钓鱼邮件，主题同样为“申请XXX账号”，邮件内容为王一（化名）需要使用系统，希望管理员新建账户，并附上手机号码。通过分析，猜测为攻击者因第一封邮件手机号码非攻击者可控，无法接受短信获取系统密码，故更换联系方式发送钓鱼邮件。

导出邮件分析后得到以下信息（已脱敏）：

随后同样发送带有防守方可控的图片作为邮件签名，监测其查看邮件时间、频率。

反制溯源

发现其收件IP地址1.1.1.2与张一的收件IP地址一致，结合邮件主题、话术、攻击手法确认两封钓鱼邮件为同一攻击者，决定并案处理。通过尝试申请重置其21cn.com的邮箱密码，发现其绑定了手机号1314444：

根据其泄漏的IP地址1.1.1.1、1.1.1.2、1.1.1.3、2.2.2.1等归属地均在哥谭市，故查询哥谭市所有131号段：

组合其号段，逐一尝试21cn.com的注册情况，最终发现存在3个对应的手机号码注册了21cn.com邮箱：

对这三个手机号码进行大数据排查、信息收集，发现13140114444曾经绑定微博、微信、支付宝等账户，且其社交媒体活动规律符合网络安全从业者特征，尤其是其手机号绑定了某招聘网站显示其具有从事网络安全相关工作经验。

根据攻击者使用张一身份在工作时间（11:18、17:58等）发送、查看邮件泄漏的IP地址1.1.1.1，使用的邮件客户端MacOS，猜测为工作单位互联网出口IP，通过物理位置定位，可获取到相关地理位置：