Phishing Protector (Thunderbird)

Phishing Protector'ın Thunderbird sürümü, açtığınız her e-postayı arka planda kendiliğinden tarayan ve kimlik avı belirtisi bulduğunda sizi uyaran bir Thunderbird eklentisidir. Outlook eklentisiyle aynı kontrolleri yapıyor ve ağ gerektiren taramalar için aynı arka ucu kullanıyor. Thunderbird 128 ve sonrası için Manifest V3 biçiminde yazdım.

Amaç

Outlook eklentisini yazdıktan sonra, çevremde e-postalarını Thunderbird ile okuyan kişilerin de aynı korumaya ihtiyacı olduğunu gördüm. İki ayrı tarama mantığı sürdürmek yerine kontrolleri Thunderbird'ün eklenti yapısına taşıdım ve arka ucu ortak bıraktım. Böylece hangi e-posta istemcisini kullanırsanız kullanın aynı ölçütlerle değerlendirilen sonuçlar alıyorsunuz.

Nasıl çalışır

Thunderbird'de bir e-posta görüntülendiği anda eklentinin arka plan betiği tetikleniyor. Betik, e-postanın tamamını Thunderbird'ün MIME ağacı olarak alıyor. MIME, bir e-postanın düz metin, HTML ve ek gibi parçalarını iç içe taşıyan biçimdir. Gerçek e-postalarda bu yapı çok katmanlı olabildiği için HTML gövdeyi bulan özyinelemeli bir fonksiyon yazdım. Başlıklardan gönderen ve yanıt adresi ayrıştırılıyor, ekler ise Thunderbird'ün kendi API'siyle listeleniyor.

Ardından e-posta kontrolleri ve bağlantı kontrolleri yapılıyor. Bu aşamaları geçen temiz bağlantılar ortak arka uca gönderiliyor. Arka uç bağlantılar için sırasıyla DNS kaydına, erişilebilirliğe ve VirusTotal sonucuna bakıyor. Sonuçlar e-postaya göre önbelleğe alınıyor, araç çubuğundaki simgenin üzerine tehdit sayısını gösteren bir rozet ekleniyor ve tehdit varsa işletim sisteminin bildirimi gösteriliyor.

Mesaj araç çubuğundaki kalkan simgesine tıkladığınızda açılan pencere, önbellekteki sonucu gösteriyor. Tarama henüz bitmediyse tamamlanmasını bekliyor. Pencerede tekrar tarama yapmak için bir düğme de var.

Öne çıkan özellikler

• Görünen adında bilinen bir marka ya da banka geçen ama başka bir alan adından gelen e-postaları gönderen sahteciliği olarak işaretliyor.
• Yanıt adresinin farklı bir alan adına yönlendirdiği durumları yakalıyor.
• Konu ve gövdede Türkçe ve İngilizce baskı kalıplarını arıyor.
• 40'tan fazla tehlikeli ek uzantısını ve e-postaya gömülü form ya da giriş alanlarını kontrol ediyor.
• Kiril, Yunan ve tam genişlikli karakterlerle yazılmış sahte alan adlarını, yani homograf saldırılarını tespit ediyor.
• Görünen metni ile gerçek hedefi farklı olan bağlantıları ve 19 kısaltma hizmetinden gelen adresleri ayrıca gösteriyor.
• Kayıtsız alan adlarını DNS ile, zararlı adresleri VirusTotal ile kontrol ediyor.
• Panel açık olsun ya da olmasın her e-posta kendiliğinden taranıyor.

Teknik altyapı

Eklenti Thunderbird'ün WebExtension altyapısıyla, düz HTML, CSS ve JavaScript kullanılarak yazıldı. npm ya da paketleyici yok. Thunderbird'e özgü messenger.* API'leri kullanılıyor ve eklenti yalnızca mesaj okuma ve bildirim izinleri istiyor.

Outlook sürümüyle aradaki en önemli fark taramanın nerede yapıldığı. Outlook'ta kontroller her zaman görünür olan görev panelinde çalışıyor ve panel kapalıysa tarama olmuyor. Thunderbird'de ise sonuç penceresi yalnızca tıkladığınızda açılıyor ve başka bir yere tıklayınca kapanıyor. Bu yüzden bütün kontrolleri arka plan betiğine taşıdım ve sonuçları e-posta kimliğine göre önbellekte tuttum. Arka planda sayfa yapısı olmadığı için bağlantıları ayrıştırırken tarayıcının URL nesnesini kullandım.

Arka uç, Outlook eklentisiyle paylaşılan FastAPI hizmeti. Kod tarafında yeni bir sunucu yazmam gerekmedi.

Kurulum

Geliştirme sırasında eklenti Thunderbird'ün eklenti hata ayıklama ekranından geçici olarak yüklenebiliyor. Kalıcı kurulum için proje klasörü bir zip dosyasına sıkıştırılıp uzantısı .xpi olarak değiştiriliyor ve Thunderbird'ün eklentiler ekranından dosyadan yükleniyor.

Kullanım alanları

• E-postalarını Thunderbird ile okuyan bireysel kullanıcılar ve küçük ofisler için kimlik avına karşı ek bir uyarı katmanı sağlar.
• Hem Outlook hem Thunderbird kullanan ekiplerde aynı kontrollerin uygulanmasını sağlar.
• Paneli açmayı unutan kullanıcılar için bile her e-postayı kendiliğinden taradığı ve sonucu simge üzerinde gösterdiği için pratiktir.
• Thunderbird eklentisi geliştirmek ve MIME yapısıyla çalışmak isteyen geliştiriciler için somut bir örnektir.