Hacer e-mail spoofing con SMTP sobre SSL/TLS en Gmail

Hace unos días os hablé del candado rojo que Gmail añade ahora a los mensajes de correo electrónico que han sido recibidos sin utilizar cifrado. Por supuesto, esto no tiene absolutamente nada que ver con la suplantación de identidad, donde ya sabéis que existen otras soluciones para detectar los mensajes con e-mail spoofing. Algunas de ellas son tecnologías de las que ya he hablado mucho en el pasado como los filtros SPF, Sender ID, o el uso de DKIM para garantizar el servidor de origen del mensaje.

Figura 1: Hacer e-mail spoofing con SMTP sobre SSL/TLS en Gmail

Google tiene ya en producción el uso de DKIM para algunos servicios como EBay o Paypal que hacen uso de ellos y que cuando el mensaje viene correctamente firmado desde uno de los servidores autorizados, entonces se muestra la famosa llavecita de DKIM.

Figura 2: Correo de Ebay firmado por DKIM

En el caso del candado rojo, tiene como significado únicamente que es un mensaje que simplemente se ha enviado sin cifrar, pero que se envíe por un canal seguro SSL o TLS no garantiza para nada que el mensaje sea original, por lo que si se hace un e-mail spoofing con comandos SMTP que salte los filtros SPF, o las tecnologías de scoring antispam, entonces el mensaje aparecerá sin el candado rojo como siempre ha sido.

Figura 3: Un mensaje no cifrado que aparece con el candado rojo

Para hacerlo, basta con elegir un servidor de correo entrante de Gmail para enviar el mensaje falso. En este caso he elegido gmail.smtp-in.l.google.com.

Figura 4: Servidores para intercambio de correo en Gmail

Después se tira con OpenSSL una conexión cifrada, en este caso por el puerto 25. Puede que suene raro que se use una conexión cifrada SSL por el mismo puerto que se usa para el tráfico no cifrado, pero como ya os puse en el otro artículo, Gmail reconoce en la pasarela de entrada la conexión y la dirige hacia el servicio adecuado.

Figura 5: Estableciendo la conexión SSL con OpenSSL por el puerto 25

Para tirar la conexión, utilizamos el cliente de OpenSSL con los parámetros que aparecen en la captura superior, y se establece el túnel cifrado por el puerto especificado.

Figura 6: Conexión SMTP sobre SSL establecida

Una vez creada la conexión, el resto es como siempre, escribir el mensaje con el protocolo SMTP como si fuéramos un servidor de correo saliente que envía mensajes a un destinatario de Gmail.

Figura 7: Correo enviado desde una cuenta inexistente

Y si todo ha ido bien, entonces el mensaje de correo llegará a la cuenta de Gmail del destinatario sin que aparezca el candado rojo. 

Figura 8: Mensaje recibido con e-mail spoofing sin candado rojo

No es nada rocket-science, simplemente quería dejaros una nota de cómo se puede seguir haciendo e-mail spoofing usando los túneles SSL/TLS y así evitar el candado rojo que pueda hacer sospechar más al destinatario.

Saludos Malignos!