CLR-2 · Lab pratique · Facile ·environ 25 min
Phishing : ce que disent les en-têtes
Une collègue a signalé un e-mail « colis en attente ». Lis ses en-têtes bruts dans le terminal, vérifie SPF et DMARC, retrouve d’où il vient et décode le vrai lien sans cliquer.
Ce navigateur bloque l’enregistrement : votre progression sur ce lab ne sera pas conservée.
La mission
Tu travailles au SOC de NovaRetail. Salma, de la comptabilité, a transféré un e-mail qui lui a paru bizarre : une société de livraison lui demande de payer 14,90 MAD de frais de douane, alors qu’elle n’a rien commandé.
Ta mission : confirmer, preuves à l’appui, s’il s’agit de phishing. L’e-mail brut t’attend dans reported/, avec à côté un vrai e-mail interne pour comparer.
Ce qu’il faut chercher :
- Qui l’a vraiment envoyé : le
From:visible peut afficher n’importe quoi. L’expéditeur d’enveloppe et les résultats d’authentification disent la vérité. - D’où il vient : les en-têtes
Received:sont une piste de serveurs, écrite de bas en haut. - Où mène le lien : ne clique jamais. Décode-le.
Commence par cat reported/TICKET-5107.txt, puis head -n 25 reported/parcel-on-hold.eml. Tout est simulé ici : les domaines finissent par .example ou .test, qui n’existent pas sur Internet.
Terminal
Tapez help pour voir les commandes disponibles. Tab pour compléter, ↑ ↓ pour l’historique.
Questions
L’e-mail prétend venir de
atlas-express.example. Quel domaine utilise réellement leReturn-Path(l’expéditeur d’enveloppe, là où partent les retours) ?25 XPNotre serveur de messagerie a noté ses vérifications dans
Authentication-Results. Quel est le résultat DMARC ? Un seul mot.25 XPQuelle adresse IP a remis cet e-mail à notre serveur
mx.novaretail.example?25 XPLe lien « Payer maintenant » passe par une redirection de suivi. Décode sa vraie destination. Quel est le domaine enregistré de la destination (les deux derniers éléments, comme
example.com) ?25 XP
Solution détaillée
La solution détaillée s’ouvre quand toutes les questions sont résolues.