Spam Scanner

זיהוי פישינג בדואר אלקטרוני

פישינג עובד בכך שהוא נראה כמו מישהו אחר. Spam Scanner בודק את המקומות שבהם ההסוואה נחשפת.

דומיינים מתחזים#

כל דומיין בקישור מצומצם ל„שלד” בעזרת טבלת התווים המבלבלים של Unicode ומושווה לכמעט 100 מותגים שנפוץ להתחזות אליהם:

דומייןנתפס בתור
pаypal.com (а קירילית)תווים מבלבלים
paypa1-secure.topתווים מוחלפים
xn--pple-43d.comPunycode של аpple.com
paypal.com.account-verify.exampleמותג בדומיין של מישהו אחר
paypall.comאות אחת הבדל

אפשר להוסיף מותגים, ולהכניס לרשימת ההיתר דומיינים שבבעלותכם.

קישור HTML שהטקסט שלו הוא כתובת אחת והיעד שלו הוא אחר, למשל הטקסט https://www.paypal.com/signin שמפנה ל-http://paypa1-secure.top/login, מוסיף 3 נקודות.

שמות תצוגה וזיוף#

  • שם תצוגה שמכיל מותג („PayPal Security”) מכתובת בדומיין אחר.
  • שם תצוגה שמכיל כתובת דואר אלקטרוני אחרת.
  • דואר שמתיימר להגיע מהדומיין של הנמען עצמו ונכשל ב-SPF,‏ DKIMDomainKeys Identified Mail: חתימה על הודעה, שנבדקת בעזרת מפתח ציבורי שמפורסם ב-DNS של השולח. ו-DMARC.

אתרים זדוניים ידועים#

המארחים שבקישורים נבדקים מול שרת ה-DNS‏ 1.1.1.2 של Cloudflare, שחוסם אתרי נוזקות ופישינג ידועים, ובאופן אופציונלי מול רשימות שחורות של דומיינים כמו Spamhaus DBL.

קבצים מצורפים#

פישינג מגיע גם כקבצים מצורפים מסוג HTML שמציגים דף התחברות מזויף במצב לא מקוון, וכקבצי הרצה ששמם שונה ל-.pdf. שניהם מזוהים לפי התוכן שלהם.

Shell
spamscanner scan message.eml
Text
SPAM  score 16.3 (spam at 5.0, reject at 15.0)  action: reject  language: en
     +6.3  BAYES_999                    Classifier spam probability 99.9%
     +5.0  PHISHING_LOOKALIKE_DOMAIN    "paypa1-secure.top" imitates paypal by swapping characters
     +3.0  DECEPTIVE_LINK               A link shows "https://www.paypal.com/signin" but goes to paypa1-secure.top
     +2.0  FROM_NAME_BRAND              Display name says "paypal" but the message is from paypa1-secure.top

איך הבדיקות עובדות

עריכת הדף ב-GitHub · Markdown ·