Обнаружение фишинга в почте

Фишинг работает за счёт того, что выдаёт себя за кого-то другого. Spam Scanner проверяет места, где маскировка становится заметной.

Похожие домены#

Каждый домен в ссылке сводится к скелету по таблице похожих символов Unicode и сравнивается почти со 100 брендами, которые часто подделывают:

Можно добавлять бренды, а собственные домены вносить в белый список.

Обманные ссылки#

HTML-ссылка, текст которой — один адрес, а цель — другой, например текст https://www.paypal.com/signin со ссылкой на http://paypa1-secure.top/login, добавляет 3 балла.

Отображаемые имена и подделка#

• Отображаемое имя с названием бренда («PayPal Security») у адреса из другого домена.
• Отображаемое имя, содержащее другой адрес электронной почты.
• Письмо, которое выдаёт себя за отправленное из собственного домена получателя и не проходит SPFSender Policy Framework: запись в DNS со списком серверов, которым разрешено отправлять почту от имени домена., DKIMDomainKeys Identified Mail: подпись письма, которая проверяется открытым ключом, опубликованным в DNS отправителя. и DMARCПолитика в DNS, которая сообщает получателям, что делать с письмом от имени домена, не прошедшим выравнивание SPF и DKIM..

Известные вредоносные сайты#

Хосты из ссылок проверяются через резолвер Cloudflare 1.1.1.2, который блокирует известные вредоносные и фишинговые сайты, и по желанию через чёрные списки доменов, такие как Spamhaus DBL.

Вложения#

Фишинг также приходит в виде HTML-вложений, которые рисуют поддельную страницу входа без подключения к сети, и исполняемых файлов, переименованных в .pdf. И то и другое распознаётся по содержимому.

spamscanner scan message.eml

SPAM  score 16.3 (spam at 5.0, reject at 15.0)  action: reject  language: en
     +6.3  BAYES_999                    Classifier spam probability 99.9%
     +5.0  PHISHING_LOOKALIKE_DOMAIN    "paypa1-secure.top" imitates paypal by swapping characters
     +3.0  DECEPTIVE_LINK               A link shows "https://www.paypal.com/signin" but goes to paypa1-secure.top
     +2.0  FROM_NAME_BRAND              Display name says "paypal" but the message is from paypa1-secure.top

Как работают проверки