INC-2025-001: Ausnutzung von Sophos Email zum Senden von Spam-Nachrichten

Análise

Por motivos óbvios, o Sophos Email deve considerar cuidadosamente a origem de todas as mensagens enviadas para retransmissão de saída para prevenir o uso indevido. Quando o serviço foi lançado, o sistema só podia retransmitir o e-mail se o envelope de remetente (ou se NULO, no cabeçalho De) e o endereço IP pertencessem ao cliente associado ao domínio. Isso resultou em problemas com as mensagens encaminhadas, como convites de calendário, que não atendiam ao critério, o que levava à rejeição das mensagens.

Em 2019, foi feita uma mudança nessa lógica para que fosse levado em consideração o cabeçalho Remetente bem como o remetente do envelope e o cabeçalho De. Isso permitiria que um usuário que recebesse um convite de calendário externo de exemplo.org o encaminhasse para um amigo em exemplo.com, contanto que o cabeçalho Remetente pertencesse ao cliente, mesmo que o cabeçalho De fosse de um domínio externo ao cliente.

Mas isso criou uma condição para os criminosos abusarem. Um remetente mal‑intencionado poderia registrar uma conta de avaliação e enviar uma mensagem quando o remetente do envelope fosse NULO, o cabeçalho Remetente fosse um endereço de e-mail no domínio da conta de avaliação e o endereço De fosse ativamente gerenciado por outros clientes do Sophos Email, essencialmente sophos.com.

Foi apenas em 2 de abril de 2025 que os fraudadores registraram sua primeira conta de avalição, mas a impressão é de que eles fizeram, inicialmente, uma fase de experimentação. Eles só começaram o ataque de spam a sério em 12 de abril de 2025, o que representou um abuso concreto de menos de dois dias.

Resolução

Ações imediatas

Em 15 de abril de 2025 foram tomadas ações imediatas para bloquear domínios e endereços IP associados aos fraudadores e para desabilitar as 24 contas associadas à atividade de spam.

As mudanças lógicas primárias para resolver o incidente foram implementadas no dia 16 de abril de 2025, o que envolveu uma melhoria à política implementada em 2019 para que ela fosse mais restritiva. Agora, o Sophos Email exigirá que o domínio no cabeçalho De pertença ao mesmo cliente que o cabeçalho Remetente quando o remetente do envelope for NULO. Isso engloba o caso sobre o uso de calendário e impede que clientes clonem outros domínios gerenciados pelo Sophos Email.

Uma terceira mudança foi implementada em 18 de abril de 2025 para mitigar futuros abusos: impedir que contas de avaliação enviem e-mails de saída. Isso se aplica a todas as contas de avaliação criadas posteriormente, a menos que sejam criadas por um parceiro da Sophos.

A Sophos gostaria de agradecer /u/jegraves por trazer o problema ao nosso conhecimento. Como reconhecimento, oferecemos uma premiação sob o nosso programa de recompensa por bug.

Ações de longo prazo

Melhorar a capacidade de detecção de atividades suspeitas originadas de contas de avaliação no Sophos Email. A maioria das atividades maliciosas começa quase que imediatamente após a criação da conta, dando oportunidade de analisar o comportamento da conta e assumir uma abordagem mais proativa para mitigar o abuso.

Ações adicionais

Se desejarem, os clientes podem excluir e-mails suspeitos e spams originados de info [ARROBA] sophos [PONTO] com e news [ARROBA] sophos [PONTO] com que chegaram entre 13 de abril de 2025 e 16 de abril de 2025.

Se tiver dúvidas ou precisar de assistência em relação a esse incidente, entre em contato com o Suporte da Sophos usando qualquer das opções abaixo.

• Portal de Suporte da Sophos

• Suporte da Sophos por telefone (24/7)

• Enviar um caso: faça login no Portal de Suporte e clique em Ajuda -> Criar Solicitação de Atendimento

• Clientes do MDR: entre em contato através do painel do MDR ou fale diretamente com o seu contato designado da Sophos para resposta a ameaças.