Détection de l’hameçonnage dans les e-mails

L’hameçonnage fonctionne en se faisant passer pour quelqu’un d’autre. Spam Scanner vérifie les endroits où le déguisement se voit.

Domaines sosies#

Chaque domaine d’un lien est réduit à un squelette à l’aide de la table Unicode des caractères confusables, puis comparé à près de 100 marques couramment usurpées :

Des marques peuvent être ajoutées, et les domaines qui vous appartiennent peuvent être mis sur liste d’autorisation.

Liens trompeurs#

Un lien HTML dont le texte est une adresse et la cible une autre, par exemple le texte https://www.paypal.com/signin pointant vers http://paypa1-secure.top/login, ajoute 3 points.

Noms d’affichage et usurpation#

• Un nom d’affichage contenant une marque (« PayPal Security ») associé à une adresse d’un autre domaine.
• Un nom d’affichage contenant une autre adresse e-mail.
• Un courrier qui prétend venir du propre domaine du destinataire et qui échoue à SPFSender Policy Framework : un enregistrement DNS qui liste les serveurs autorisés à envoyer du courrier pour un domaine., DKIMDomainKeys Identified Mail : une signature portant sur un message, vérifiée avec une clé publique publiée dans le DNS de l’expéditeur. et DMARCUne politique DNS qui indique aux destinataires quoi faire d’un message qui se réclame d’un domaine mais échoue à l’alignement SPF et DKIM..

Sites malveillants connus#

Les hôtes des liens sont interrogés sur le résolveur 1.1.1.2 de Cloudflare, qui bloque les sites de logiciels malveillants et d’hameçonnage connus, et éventuellement sur des listes de blocage de domaines comme Spamhaus DBL.

Pièces jointes#

L’hameçonnage arrive aussi sous forme de pièces jointes HTML qui affichent hors ligne une fausse page de connexion, et d’exécutables renommés en .pdf. Les deux sont repérés d’après leur contenu.

spamscanner scan message.eml

SPAM  score 16.3 (spam at 5.0, reject at 15.0)  action: reject  language: en
     +6.3  BAYES_999                    Classifier spam probability 99.9%
     +5.0  PHISHING_LOOKALIKE_DOMAIN    "paypa1-secure.top" imitates paypal by swapping characters
     +3.0  DECEPTIVE_LINK               A link shows "https://www.paypal.com/signin" but goes to paypa1-secure.top
     +2.0  FROM_NAME_BRAND              Display name says "paypal" but the message is from paypa1-secure.top

Fonctionnement des vérifications