Phát hiện phishing trong email

Phishing hoạt động bằng cách giả làm người khác. Spam Scanner kiểm tra những chỗ mà lớp ngụy trang lộ ra.

Tên miền giả mạo#

Mỗi tên miền trong liên kết được rút gọn thành một bộ khung bằng bảng ký tự dễ nhầm lẫn (confusables) của Unicode và được so sánh với gần 100 thương hiệu thường bị mạo danh:

Có thể thêm thương hiệu, và có thể đưa các tên miền của bạn vào danh sách cho phép.

Liên kết lừa đảo#

Một liên kết HTML có văn bản là một địa chỉ còn đích đến là địa chỉ khác, như văn bản https://www.paypal.com/signin nhưng trỏ tới http://paypa1-secure.top/login, cộng 3 điểm.

Tên hiển thị và giả mạo#

• Tên hiển thị chứa một thương hiệu (“PayPal Security”) từ một địa chỉ thuộc tên miền khác.
• Tên hiển thị chứa một địa chỉ email khác.
• Thư tự nhận đến từ chính tên miền của người nhận nhưng không qua được SPFSender Policy Framework: một bản ghi DNS liệt kê các máy chủ được phép gửi thư cho một tên miền., DKIMDomainKeys Identified Mail: một chữ ký trên thư, được kiểm tra bằng khóa công khai công bố trong DNS của người gửi. và DMARCMột chính sách DNS cho bên nhận biết phải làm gì khi thư tự nhận thuộc về một tên miền không khớp (alignment) SPF và DKIM..

Các trang độc hại đã biết#

Tên máy chủ trong liên kết được tra cứu trên resolver 1.1.1.2 của Cloudflare, vốn chặn các trang mã độc và phishing đã biết, và tùy chọn trên các danh sách chặn tên miền như Spamhaus DBL.

Tệp đính kèm#

Phishing cũng đến dưới dạng tệp đính kèm HTML hiển thị một trang đăng nhập giả ngay trên máy, không cần mạng, và dưới dạng tệp thực thi bị đổi tên thành .pdf. Cả hai đều được phát hiện qua nội dung của chúng.

spamscanner scan message.eml

SPAM  score 16.3 (spam at 5.0, reject at 15.0)  action: reject  language: en
     +6.3  BAYES_999                    Classifier spam probability 99.9%
     +5.0  PHISHING_LOOKALIKE_DOMAIN    "paypa1-secure.top" imitates paypal by swapping characters
     +3.0  DECEPTIVE_LINK               A link shows "https://www.paypal.com/signin" but goes to paypa1-secure.top
     +2.0  FROM_NAME_BRAND              Display name says "paypal" but the message is from paypa1-secure.top

Cách các phép kiểm tra hoạt động