Tudásbázis
Feladó utánanézése és hasonmás domainek
Ki ez, ötven szóban, és hasonmás-e a domain?
Részletek
- Kattints a feladó nevére egy üzenetben, és webes keresés indul a személyről és a mögötte álló domainről.
- A beérkezéskori verdikt a válasz fölött áll, mert a kettő közül csak az egyik mérvadó: a saját ellenőrzéseink ennek az üzenetnek a fejléceit és hivatkozásait olvassák, míg a keresés egy modell háttértudása egy névről, és sosem látta az üzenetet.
- A hajszálnyira eltérő domaineket kiemeli: a paypaI.com nagy i betűvel ott, ahol l-nek kellene lennie, vagy a paypal-secure.com, amely toldalékkal van kitömve. A teszt: két szerkesztésnyire a márkanévtől, vagy a márkanév valamivel megtoldva.
- A márka-összevetés húsz utánzásra érdemes névvel történik: paypal, microsoft, apple, dhl, chase és a többi. A könyvelőd domainjének hasonmása nincs ezen a listán, és nem is lehetne rajta, ezért máshogy fogjuk meg: minden olyan domain, amely egyetlen szón belül több ábécét kever, önmagában is jelzést kap, bárkit is utánoz. Az írásrendszerek keverése a technika, nem a célpont, egy teljes egészében cirill vagy görög betűs domain pedig normális domain, és nem nyúlunk hozzá.
- A más ábécéből átírt domaineket dekódoljuk, mielőtt összevetnénk. A pаypal.com cirill а betűvel xn--pypal-4ve.com alakban utazik, ami tizenhét szerkesztésnyire van a paypal névtől, és semmire sem illeszkedik, ezért a nevet visszafejtjük arra, amit egy ember látna, az utánzó betűket az általuk másolt latin betűkre képezzük, és az eredményt hasonlítjuk a márkához. Ez nagyobb súlyt kap egy közönséges hajszálnyi eltérésnél: egy olyan írásmódnak, amelyet két ábécéből kellett összerakni, nincs ártatlan változata.
- Az a hasonmás, amely saját magára nézve átmegy a DMARC-on és a DKIM-en – ami a támadónak semmibe nem kerül, hiszen a saját domainje –, az identitásjelzéseit a súlyuk 45%-ára leszállítva látja, és a 40-ből 18 lesz egy 30-as figyelmeztetési küszöbbel szemben. Valami másnak is meg kell szólalnia az üzenetben, méghozzá olyasminek, amit a leszállítás nem érint: egy hivatkozás, amely egy domainnek látszik, de máshová visz, önmagában átviszi a küszöböt, és ugyanígy egy futtatható melléklet. Egy hitelesítetlen ugrás nem lehet ez a valami, mert csak olyan domainnél szólal meg, amely megbukott a DMARC-on és a DKIM-en, ami éppen az ellenkezője a leszállítottnak, és egyetlen sürgető fordulat sem elég: egy „your account has been suspended” tíz pontot ér egy harmincas küszöb ellen, tehát kettő kell belőle, plusz egy hivatkozás.