Adathalász e-mailek felismerése

Az adathalászat úgy működik, hogy valaki másnak tűnik. A Spam Scanner azokat a pontokat ellenőrzi, ahol az álca kilátszik.

Hasonmás domainek#

A hivatkozásokban szereplő minden domaint a Unicode confusables táblázatával egy vázra egyszerűsít, és összeveti közel 100 gyakran utánzott márkával:

Márkák adhatók hozzá, a saját domainek pedig engedélyezőlistára tehetők.

Megtévesztő hivatkozások#

Az a HTML-hivatkozás, amelynek szövege egy cím, a célja pedig egy másik, például a https://www.paypal.com/signin szöveg, amely a http://paypa1-secure.top/login címre mutat, 3 pontot ad hozzá.

Megjelenített nevek és hamisítás#

• Márkanevet tartalmazó megjelenített név („PayPal Security”) egy másik domainhez tartozó címről.
• Egy másik e-mail-címet tartalmazó megjelenített név.
• A címzett saját domainjéről érkezőnek mondott levél, amely elbukik az SPF-, DKIM- és DMARC-ellenőrzésen.

Ismert rosszindulatú oldalak#

A hivatkozások gépneveit lekérdezi a Cloudflare 1.1.1.2-es DNS-feloldóján, amely blokkolja az ismert kártevő- és adathalász oldalakat, valamint opcionálisan olyan domain-tiltólistákon, mint a Spamhaus DBL.

Mellékletek#

Az adathalászat HTML-mellékletként is érkezik, amely offline rajzol ki egy hamis bejelentkezési oldalt, valamint .pdf kiterjesztésre átnevezett futtatható fájlként. Mindkettőt a tartalma alapján ismeri fel.

spamscanner scan message.eml

SPAM  score 16.3 (spam at 5.0, reject at 15.0)  action: reject  language: en
     +6.3  BAYES_999                    Classifier spam probability 99.9%
     +5.0  PHISHING_LOOKALIKE_DOMAIN    "paypa1-secure.top" imitates paypal by swapping characters
     +3.0  DECEPTIVE_LINK               A link shows "https://www.paypal.com/signin" but goes to paypa1-secure.top
     +2.0  FROM_NAME_BRAND              Display name says "paypal" but the message is from paypa1-secure.top

Hogyan működnek az ellenőrzések