Phishing-detektion i e-mail

Phishing virker ved at ligne en anden. Spam Scanner tjekker de steder, hvor forklædningen viser sig.

Forvekslelige domæner#

Hvert domæne i et link reduceres til et skelet med Unicodes tabel over forvekslelige tegn og sammenlignes med næsten 100 varemærker, der ofte efterlignes:

Varemærker kan tilføjes, og domæner, du ejer, kan sættes på tilladelseslisten.

Vildledende links#

Et HTML-link, hvis tekst er én adresse og hvis mål er en anden, for eksempel teksten https://www.paypal.com/signin, der peger på http://paypa1-secure.top/login, lægger 3 point til.

Visningsnavne og spoofing#

• Et visningsnavn, der indeholder et varemærke (»PayPal Security«), fra en adresse på et andet domæne.
• Et visningsnavn, der indeholder en anden e-mailadresse.
• Post, der påstår at komme fra modtagerens eget domæne, og som ikke består SPFSender Policy Framework: en DNS-post, der angiver de servere, som må sende post for et domæne., DKIMDomainKeys Identified Mail: en signatur over en besked, der tjekkes med en offentlig nøgle, som er offentliggjort i afsenderens DNS. og DMARCEn DNS-politik, der fortæller modtagere, hvad de skal gøre, når post, der udgiver sig for at komme fra et domæne, ikke består SPF- og DKIM-justeringen..

Kendte skadelige websteder#

Værter i links slås op på Cloudflares resolver 1.1.1.2, som blokerer kendte malware- og phishingwebsteder, og valgfrit på domæneblokeringslister som Spamhaus DBL.

Vedhæftede filer#

Phishing kommer også som HTML-vedhæftninger, der tegner en falsk login-side offline, og som programfiler, der er omdøbt til .pdf. Begge findes ud fra deres indhold.

spamscanner scan message.eml

SPAM  score 16.3 (spam at 5.0, reject at 15.0)  action: reject  language: en
     +6.3  BAYES_999                    Classifier spam probability 99.9%
     +5.0  PHISHING_LOOKALIKE_DOMAIN    "paypa1-secure.top" imitates paypal by swapping characters
     +3.0  DECEPTIVE_LINK               A link shows "https://www.paypal.com/signin" but goes to paypa1-secure.top
     +2.0  FROM_NAME_BRAND              Display name says "paypal" but the message is from paypa1-secure.top

Sådan virker tjekkene