Виявлення фішингу в електронній пошті

Фішинг працює, видаючи себе за когось іншого. Spam Scanner перевіряє місця, де маскування стає помітним.

Схожі домени#

Кожен домен у посиланні зводиться до «скелета» за таблицею схожих символів Unicode і порівнюється майже зі 100 брендами, які найчастіше підробляють:

Бренди можна додавати, а власні домени — вносити до списку дозволених.

Оманливі посилання#

HTML-посилання, текст якого є однією адресою, а ціль — іншою, наприклад текст https://www.paypal.com/signin, що вказує на http://paypa1-secure.top/login, додає 3 бали.

Імена відправника й підробка#

• Ім’я відправника з назвою бренду («PayPal Security») з адреси на іншому домені.
• Ім’я відправника, що містить іншу адресу електронної пошти.
• Пошта, яка нібито надходить із власного домену отримувача, але не проходить SPFSender Policy Framework: запис DNS зі списком серверів, яким дозволено надсилати пошту від імені домену., DKIMDomainKeys Identified Mail: підпис листа, який перевіряють відкритим ключем, опублікованим у DNS відправника. і DMARCПолітика в DNS, яка вказує отримувачам, що робити з поштою від імені домену, коли вона не проходить вирівнювання SPF і DKIM..

Відомі шкідливі сайти#

Хости посилань перевіряються через резолвер Cloudflare 1.1.1.2, який блокує відомі сайти зі шкідливим ПЗ і фішингом, а за бажанням — і через чорні списки доменів, як-от Spamhaus DBL.

Вкладення#

Фішинг також надходить у вигляді HTML-вкладень, які малюють підроблену сторінку входу без мережі, і виконуваних файлів, перейменованих на .pdf. Обидва типи розпізнаються за вмістом.

spamscanner scan message.eml

SPAM  score 16.3 (spam at 5.0, reject at 15.0)  action: reject  language: en
     +6.3  BAYES_999                    Classifier spam probability 99.9%
     +5.0  PHISHING_LOOKALIKE_DOMAIN    "paypa1-secure.top" imitates paypal by swapping characters
     +3.0  DECEPTIVE_LINK               A link shows "https://www.paypal.com/signin" but goes to paypa1-secure.top
     +2.0  FROM_NAME_BRAND              Display name says "paypal" but the message is from paypa1-secure.top

Як працюють перевірки