Spam Scanner

メールのフィッシング検出

フィッシングは、他人になりすますことで成り立ちます。Spam Scannerは、その偽装が表に出る箇所を検査します。

類似ドメイン#

リンク内の各ドメインはUnicodeの紛らわしい文字の表（confusables）で骨格に変換され、なりすましの多い約100のブランドと比較されます。

ドメイン検出理由
pаypal.com（キリル文字のа）紛らわしい文字
paypa1-secure.top入れ替えた文字
xn--pple-43d.comаpple.comのPunycode
paypal.com.account-verify.example他人のドメインに含まれるブランド
paypall.com1文字違い

ブランドは追加でき、自分が所有するドメインは許可リストに入れられます。

テキストと宛先が別のアドレスになっているHTMLリンク、たとえばテキストがhttps://www.paypal.com/signinで宛先がhttp://paypa1-secure.top/loginのリンクには3点が加算されます。

表示名となりすまし#

  • 別のドメインのアドレスから送られた、ブランド名を含む表示名（「PayPal Security」など）。
  • 別のメールアドレスを含む表示名。
  • 受信者自身のドメインから来たと称し、SPFSender Policy Framework。あるドメインのメールの送信を許可されたサーバーを列挙するDNSレコード。、DKIMDomainKeys Identified Mail。メッセージに付ける署名で、送信者のDNSで公開された公開鍵を使って検証します。、DMARCに失敗するメール。

既知の悪質なサイト#

リンクのホストは、既知のマルウェアサイトとフィッシングサイトをブロックするCloudflareの1.1.1.2リゾルバーで照会します。オプションでSpamhaus DBLなどのドメインブロックリストでも照会します。

添付ファイル#

フィッシングは、オフラインで偽のログインページを表示するHTML添付ファイルや、.pdfに名前を変えた実行ファイルとしても届きます。どちらも内容から検出します。

Shell
spamscanner scan message.eml
Text
SPAM  score 16.3 (spam at 5.0, reject at 15.0)  action: reject  language: en
     +6.3  BAYES_999                    Classifier spam probability 99.9%
     +5.0  PHISHING_LOOKALIKE_DOMAIN    "paypa1-secure.top" imitates paypal by swapping characters
     +3.0  DECEPTIVE_LINK               A link shows "https://www.paypal.com/signin" but goes to paypa1-secure.top
     +2.0  FROM_NAME_BRAND              Display name says "paypal" but the message is from paypa1-secure.top

検査の仕組み

このページをGitHubで編集 · Markdown ·