Spam Scanner

电子邮件钓鱼检测

钓鱼的手法是冒充他人。Spam Scanner 检查伪装会露出破绽的地方。

仿冒域名#

链接中的每个域名都会用 Unicode 易混淆字符表归约为骨架形式，再与近 100 个常被冒充的品牌进行比较：

域名识别为
pаypal.com（西里尔字母 а）易混淆字符
paypa1-secure.top调换字符
xn--pple-43d.comаpple.com 的 Punycode
paypal.com.account-verify.example品牌出现在他人的域名中
paypall.com相差一个字母

可以添加品牌，也可以把你拥有的域名加入允许列表。

如果一个 HTML 链接的文字是一个地址而目标是另一个地址，例如文字为 https://www.paypal.com/signin，却指向 http://paypa1-secure.top/login，则加 3 分。

显示名称和冒充#

  • 显示名称包含某个品牌（“PayPal Security”），但发件地址属于另一个域名。
  • 显示名称包含另一个电子邮件地址。
  • 声称来自收件人自己域名的邮件，却未通过 SPFSender Policy Framework（发件人策略框架）：一条 DNS 记录，列出允许代表某个域名发送邮件的服务器。、DKIMDomainKeys Identified Mail（域名密钥识别邮件）：对邮件的签名，用发件人在 DNS 中发布的公钥验证。 和 DMARC一种 DNS 策略，告诉收件服务器：自称来自某个域名的邮件未通过 SPF 和 DKIM 对齐时该如何处理。。

已知的恶意网站#

链接主机会在 Cloudflare 的 1.1.1.2 解析器上查询，该解析器会拦截已知的恶意软件和钓鱼网站；还可以选择在 Spamhaus DBL 等域名黑名单上查询。

附件#

钓鱼也会以 HTML 附件的形式出现，离线绘制一个假的登录页面，或者以改名为 .pdf 的可执行文件的形式出现。两者都会根据内容被识别出来。

Shell
spamscanner scan message.eml
Text
SPAM  score 16.3 (spam at 5.0, reject at 15.0)  action: reject  language: en
     +6.3  BAYES_999                    Classifier spam probability 99.9%
     +5.0  PHISHING_LOOKALIKE_DOMAIN    "paypa1-secure.top" imitates paypal by swapping characters
     +3.0  DECEPTIVE_LINK               A link shows "https://www.paypal.com/signin" but goes to paypa1-secure.top
     +2.0  FROM_NAME_BRAND              Display name says "paypal" but the message is from paypa1-secure.top

检查的工作原理

在 GitHub 上编辑此页 · Markdown ·