Wykrywanie phishingu w poczcie e-mail

Phishing działa, bo udaje kogoś innego. Spam Scanner sprawdza miejsca, w których widać przebranie.

Podobne domeny#

Każda domena w linku jest sprowadzana do szkieletu za pomocą tabeli confusables Unicode i porównywana z prawie 100 często podrabianymi markami:

Można dodawać marki, a własne domeny dodać do listy dozwolonych.

Mylące linki#

Link HTML, którego tekst to jeden adres, a cel to inny, na przykład tekst https://www.paypal.com/signin wskazujący na http://paypa1-secure.top/login, dodaje 3 punkty.

Nazwy wyświetlane i podszywanie się#

• Nazwa wyświetlana zawierająca markę („PayPal Security”) z adresu w innej domenie.
• Nazwa wyświetlana zawierająca inny adres e-mail.
• Poczta rzekomo pochodząca z własnej domeny odbiorcy, która nie przechodzi SPFSender Policy Framework: rekord DNS z listą serwerów, które mogą wysyłać pocztę w imieniu domeny., DKIMDomainKeys Identified Mail: podpis wiadomości sprawdzany kluczem publicznym opublikowanym w DNS nadawcy. i DMARCPolityka w DNS, która mówi odbiorcom, co zrobić z pocztą podającą się za domenę, gdy nie przechodzi ona dopasowania SPF i DKIM..

Znane szkodliwe witryny#

Hosty z linków są sprawdzane w resolverze Cloudflare 1.1.1.2, który blokuje znane witryny ze złośliwym oprogramowaniem i phishingiem, a opcjonalnie na czarnych listach domen, takich jak Spamhaus DBL.

Załączniki#

Phishing przychodzi też jako załączniki HTML, które offline rysują fałszywą stronę logowania, oraz jako pliki wykonywalne przemianowane na .pdf. Jedno i drugie jest rozpoznawane po zawartości.

spamscanner scan message.eml

SPAM  score 16.3 (spam at 5.0, reject at 15.0)  action: reject  language: en
     +6.3  BAYES_999                    Classifier spam probability 99.9%
     +5.0  PHISHING_LOOKALIKE_DOMAIN    "paypa1-secure.top" imitates paypal by swapping characters
     +3.0  DECEPTIVE_LINK               A link shows "https://www.paypal.com/signin" but goes to paypa1-secure.top
     +2.0  FROM_NAME_BRAND              Display name says "paypal" but the message is from paypa1-secure.top

Jak działają kontrole