Spam Scanner

이메일 피싱 탐지

피싱은 다른 누군가인 척하는 방식으로 이루어집니다. Spam Scanner는 그 위장이 드러나는 곳을 검사합니다.

유사 도메인#

링크의 각 도메인을 유니코드 혼동 문자(confusables) 표로 골격 형태로 줄이고, 자주 사칭되는 브랜드 100개 가까이와 비교합니다.

도메인탐지 유형
pаypal.com(키릴 문자 а)혼동하기 쉬운 문자
paypa1-secure.top뒤바뀐 문자
xn--pple-43d.comаpple.com의 퓨니코드
paypal.com.account-verify.example다른 사람의 도메인 속 브랜드
paypall.com한 글자 차이

브랜드는 추가할 수 있으며, 소유한 도메인은 허용 목록에 넣을 수 있습니다.

텍스트는 https://www.paypal.com/signin이지만 http://paypa1-secure.top/login을 가리키는 것처럼, 텍스트에 표시된 주소와 실제 대상이 다른 HTML 링크는 3점을 더합니다.

표시 이름과 사칭#

  • 다른 도메인 주소에서 보낸, 브랜드가 들어간 표시 이름("PayPal Security").
  • 다른 이메일 주소가 들어 있는 표시 이름.
  • 수신자 자신의 도메인에서 왔다고 주장하지만 SPFSender Policy Framework: 도메인을 대신해 메일을 보낼 수 있는 서버를 나열한 DNS 레코드입니다., DKIMDomainKeys Identified Mail: 메시지에 대한 서명으로, 발신자 DNS에 게시된 공개 키로 검증합니다., DMARC에 실패한 메일.

알려진 악성 사이트#

링크 호스트는 알려진 악성코드 사이트와 피싱 사이트를 차단하는 Cloudflare의 1.1.1.2 리졸버에서 조회하며, 선택적으로 Spamhaus DBL 같은 도메인 차단 목록에서도 조회합니다.

첨부 파일#

피싱은 오프라인으로 가짜 로그인 페이지를 그리는 HTML 첨부 파일이나, .pdf로 이름을 바꾼 실행 파일로도 도착합니다. 둘 다 내용으로 찾아냅니다.

Shell
spamscanner scan message.eml
Text
SPAM  score 16.3 (spam at 5.0, reject at 15.0)  action: reject  language: en
     +6.3  BAYES_999                    Classifier spam probability 99.9%
     +5.0  PHISHING_LOOKALIKE_DOMAIN    "paypa1-secure.top" imitates paypal by swapping characters
     +3.0  DECEPTIVE_LINK               A link shows "https://www.paypal.com/signin" but goes to paypa1-secure.top
     +2.0  FROM_NAME_BRAND              Display name says "paypal" but the message is from paypa1-secure.top

검사의 작동 방식

GitHub에서 이 페이지 편집 · Markdown ·