Письмо в пятницу
Компания: ТОО «Алтын Строй»
Вводная
ТОО «Алтын Строй» — строительная компания. Ящик buh@altyn-stroy.example получил письмо якобы от своего же подразделения, с вложением. Сотрудник вложение не открыл и переслал письмо вам.
В ящике за этот день полтора десятка писем. Текстов здесь нет, и они не нужны: всё, что требуется, лежит в конверте письма и в результатах проверок SPF, DKIM и DMARC.
Осторожнее с поспешными выводами: не каждая непройденная проверка означает подделку, и не каждая пройденная означает, что письмо настоящее.
Артефакты
Те же данные в файлах для настоящих инструментов: откройте в Wireshark, Excel или загрузите в Elastic. Ответы сойдутся — данные одни.
Письма · 15
Выберите письмо, чтобы посмотреть заголовки
Вопросы
0/7 · 0/115 очков
Войдите, чтобы сохранять прогресс и попадать в рейтинг.
Какое письмо не прошло проверку DMARC?
Формат: Идентификатор письма, например m001 · 15 очков
Какой домен указан в конверте письма (Return-Path)?
Формат: Доменное имя · 20 очков
С какого адреса письмо было принято почтовым сервером?
Формат: IPv4-адрес · 15 очков
Каким был результат проверки SPF у этого письма?
Формат: Одно слово: pass, fail, softfail или none · 20 очков
Как называется вложение?
Формат: Имя файла с расширением · 15 очков
Какой хэш у вложения?
Формат: 64 шестнадцатеричных символа · 20 очков
Какой техникой MITRE ATT&CK описывается письмо с вредоносным вложением?
Формат: Идентификатор вида T1234.001 · 10 очков