'Eén Gmail-account kan spamwerk van klein botnet verzetten'

Middels een vooralsnog niet openbaar gemaakte exploit zijn twee beveiligingsonderzoekers erin geslaagd de smtp-servers van Gmail als open relays te misbruiken. Op die manier kon een grote hoeveelheid mail buiten spamfilters om verstuurd worden.

De twee onderzoekers van Insert, Pablo Ximenes en André dos Santos, schreven een proof of concept exploit om de forwarding-mogelijkheden van Gmail te misbruiken. De kwetsbaarheid kon gebruikt worden om een grote hoeveelheid spam via Gmails servers te versturen en daarbij spamfilters te omzeilen. Volgens Ximenes en Dos Santos kan één Gmail-account dankzij de exploit het werk van een klein botnet verzetten. De exacte details van de aanval gaven de onderzoekers niet prijs, aangezien zij Google in staat willen stellen het lek te dichten.

Met de exploit slaagden de beveiligingsonderzoekers erin een kwetsbaarheid in de mailforwarding van Gmail uit te buiten: tijdens het doorsturen van e-mail controleert Gmail de headers van mailtjes niet en laat vervalste gegevens intact. De poc-exploit maakt gebruik van deze fout en stelde de onderzoekers in staat mailtjes met vervalste gegevens te forwarden naar zoveel adressen als zij wilden. De gebruikelijke limiet van 500 e-mails die Google hanteert voor het versturen van grote hoeveelheden mail, werd daarbij gepasseerd: het programma stopte na het versturen van ruim vierduizend mailtjes.

Door van de smtp-servers van Google gebruik te maken, kregen de mailtjes die de onderzoekers verstuurden bovendien een vertrouwde status bij de mailservers van andere providers. Dat is te danken aan de grote hoeveelheid spam die circuleert: spamfilters worden niet op alle e-mails toegepast, maar op slechts een deel. Veel e-mail wordt op basis van het vertrouwensniveau van de provider beoordeeld: betrouwbare afzenders worden aan een whitelist toegevoegd, terwijl spambronnen geblacklist worden. De onderzoekers maakten gebruik van de whitelist-status van Gmail om hun spam bij testaccounts bij Yahoo en Hotmail af te leveren. Die vertrouwensrelatie tussen providers bleek zelfs zo ver te gaan, dat Ximenes en Dos Santos er met hun poc in slaagden spam van hun geblackliste ip-adressen naar Yahoo- en Hotmailadressen te sturen, die keurig in de respectievelijke inboxen aankwam. Wanneer de spam echter zonder de exploit te gebruiken verstuurd werd, kwam de e-mail niet aan.

De snelheid waarmee de spam-, of desgewenst phishing-berichten, verstuurd werden, bedroeg gemiddeld elf mailtjes per minuut. De Insert-medewerkers stellen echter dat het misbruiken van meerdere Gmail-accounts de capaciteit van een botnet zou benaderen. Google is op de hoogte van de kwetsbaarheid in hun forwarding-configuratie gesteld, maar op de relevante Google-blogs wordt nog geen melding van de kwetsbaarheid gemaakt.