Vorhersage neuer Spam-Domains durch Machine Learning

Forscher aus Frankreich haben eine Methode entwickelt, um neu registrierte Domains zu identifizieren, die wahrscheinlich in einer “Hit-and-Run”-Art von High-Volume-E-Mail-Spamern verwendet werden – manchmal sogar bevor die Spammer eine unerwünschte E-Mail gesendet haben.

Die Technik basiert auf der Analyse der Art und Weise, wie die Sender Policy Framework (SPF), eine Methode zur Überprüfung der E-Mail-Herkunft, auf neu registrierten Domains eingerichtet ist.

Dank der Verwendung von passiven DNS (Domain Name System)-Sensoren konnten die Forscher nahezu Echtzeit-DNS-Daten von der in Seattle ansässigen Firma Farsight erhalten, die SPF-Aktivitäten für TXT-Records für eine Reihe von Domains lieferten.

Mithilfe eines Class-Weight-Algorithmus, der ursprünglich für die Verarbeitung von unbalancierten medizinischen Daten entwickelt wurde und in der scikit-learn-Machine-Learning-Python-Bibliothek implementiert ist, konnten die Forscher drei Viertel der ausstehenden Spam-Domains innerhalb von Momenten oder sogar im Voraus identifizieren.

Die Studie besagt:

‘Mit einer einzigen Anfrage zum TXT-Record können wir 75% der Spam-Domains erkennen, möglicherweise bevor die Spam-Kampagne beginnt. Unsere Methode bringt eine wichtige Reaktionsgeschwindigkeit mit sich: Wir können Spammer mit guter Leistung erkennen, bevor auch nur eine E-Mail gesendet wird und bevor es zu einem Anstieg des DNS-Verkehrs kommt.’

Die Forscher behaupten, dass die in ihrer Technik verwendeten Merkmale zu bestehenden Spam-Erkennungssystemen hinzugefügt werden könnten, um die Leistung zu verbessern, ohne signifikanten Rechenaufwand hinzuzufügen, da das System auf SPF-Daten basiert, die passiv aus nahezu Echtzeit-DNS-Feeds abgeleitet werden, die bereits für andere Ansätze zum Problem verwendet werden.

Die Studie trägt den Titel Früherkennung von Spam-Domains mit passivem DNS und SPF und stammt von drei Forschern der Universität Grenoble.

SPF-Aktivität

SPF ist dazu gedacht, das Spoofing von E-Mail-Adressen zu verhindern, indem es überprüft, ob eine registrierte und autorisierte IP-Adresse verwendet wurde, um eine E-Mail zu senden.

In diesem Beispiel von SPF sendet ‘Alice’ eine harmlose E-Mail an ‘Bob’, während der Angreifer ‘Mallory’ versucht, Alice zu imitieren. Beide senden E-Mails von ihren eigenen Domains, aber nur Alices Server ist registriert, um Alices E-Mail zu senden, so dass Mallorys Spoof vereitelt wird, wenn seine gefälschte E-Mail die SPF-Verifizierung nicht besteht. Quelle: https://arxiv.org/pdf/2205.01932.pdf

Andere Methoden der E-Mail-Verifizierung umfassen DomainKeys Identified Mail (DKIM)-Signaturen und Domain-basierte Nachrichten-Authentifizierung, Berichterstattung und Konformität (DMARC).

Alle drei Methoden müssen als TXT-Records (Konfigurations-Einstellungen) beim Domain-Registrar für die authentische sendende Domain registriert werden.

Spam und Burn

Spammer zeigen ‘Signaturen-Verhalten’ in dieser Hinsicht. Ihre Absicht (oder zumindest die Kollateralschäden ihrer Aktivitäten) ist es, den Ruf der Domain und ihrer IP-Adressen zu ‘verbrennen’, indem sie Massen-E-Mails aussenden, bis entweder Maßnahmen von den Netzwerkanbietern ergriffen werden, die diese Dienste verkaufen; oder die zugehörigen IP-Adressen in beliebte Spam-Filter-Listen eingetragen werden, was sie für den aktuellen Absender nutzlos macht (und problematisch für die zukünftigen Besitzer der IP-Adressen).

Ein enges Zeitfenster: die Zeit in Stunden, bevor eine neue Spam-Domain gesperrt und nutzlos gemacht wird, durch SpamHaus und andere Überwachungsdienste.

Wenn die Domain-Position nicht mehr praktikabel ist, wechseln die Spammer zu anderen Domains und Diensten, wie erforderlich, und wiederholen das Verfahren mit neuen IP-Adressen und Konfigurationen.

Daten und Methoden

Die für die Studie untersuchten Domains umfassen den Zeitraum zwischen Mai und August 2021, wie von Farsight bereitgestellt. Nur frisch registrierte Domains wurden berücksichtigt, da dies dem modus operandi des hartnäckigen Spammers entspricht.

Die Domain-Liste wurde über Daten des ICANN Central Zone Data Service (CZDS) erstellt. Blacklist-Informationen von den SURBL– und SpamHaus-Projekten wurden verwendet, um nahezu Echtzeit-Identifizierung von potenziell problematischen neuen Domain-Registrierungen zu ermöglichen – obwohl die Autoren einräumen, dass die unvollkommene Natur von Spam-Listen dazu führen kann, dass harmlose Domains fälschlicherweise als potenzielle Quellen von Massen-E-Mails eingestuft werden.

Nach der Erfassung von DNS-TXT-Anfragen zu den neu registrierten Domains, die im passiven DNS-Feed gefunden wurden, wurden nur Anfragen mit gültigen SPF-Daten beibehalten, um die Grundlage für die Algorithmen zu liefern.

SPF hat eine Reihe von verwendbaren Merkmalen; die neue Studie hat festgestellt, dass, während ‘harmlose’ Domain-Besitzer am häufigsten das +include-Mechanismus verwenden, Spammer den höchsten Einsatz des (inzwischen veralteten) +ptr-Features haben.

SPF-Regel-Verwendung von Spamern im Vergleich zur Standard-Verwendung.

Ein +ptr-Lookup vergleicht die IP-Adresse des sendenden Mail-Servers mit den vorhandenen Aufzeichnungen für eine Verbindung zwischen dieser IP und dem Hostnamen (z. B. GoDaddy ). Wenn der Hostname gefunden wird, wird seine Domain mit der ursprünglich verwendeten Domain für den SPF-Record verglichen.

Spammer können die scheinbare Strenge von +ptr ausnutzen, um sich in einem glaubwürdigeren Licht zu präsentieren, wenn sie tatsächlich die Ressourcen benötigen, um umfassende +ptr-Lookups durchzuführen, was viele Anbieter dazu veranlasst, den Check ganz zu unterlassen.

In Kürze, die Art und Weise, wie Spammer SPF verwenden, um ein Zeitfenster der Gelegenheit vor dem Beginn der ‘Blast-und-Burn’-Operation zu sichern, stellt eine charakteristische Signatur dar, die durch Maschinenanalyse abgeleitet werden kann.

Charakteristische SPF-Beziehungen für Spam-Domains.

Da Spammer oft zu sehr nahe gelegenen IP-Bereichen und Ressourcen wechseln, entwickelten die Forscher einen Beziehungsgraphen, um die Korrelation zwischen IP-Bereichen und Domains zu untersuchen. Der Graph kann fast in Echtzeit aktualisiert werden, um auf neue Daten von SpamHaus und anderen Quellen zu reagieren, und wird im Laufe der Zeit nützlicher und vollständiger.

Die Forscher stellen fest:

‘Die Untersuchung dieser Strukturen kann potenzielle Spam-Domains hervorheben. In unserem Datensatz fanden wir [Strukturen], in denen Dutzende von Domains dieselbe [SPF]-Regel verwendeten und die Mehrheit von ihnen auf Spam-Blacklists erschien. Es ist daher vernünftig anzunehmen, dass die verbleibenden Domains wahrscheinlich noch nicht erkannt oder noch nicht aktive Spam-Domains sind.’

Ergebnisse

Die Forscher verglichen die Spam-Domain-Erkennungsverzögerung ihres Ansatzes mit der von SpamHaus und SURBL über einen Zeitraum von 50 Stunden. Sie berichten, dass für 70% der identifizierten Spam-Domains ihr eigenes System schneller war, obwohl sie einräumen, dass 26% der identifizierten Spam-Domains in den kommerziellen Blacklists innerhalb der folgenden Stunde erschienen. 30% der Domains waren bereits in einer Blacklist, als sie im passiven DNS-Feed erschienen.

Die Autoren behaupten eine F1-Score von 79% gegenüber der Grundlage, basierend auf einer einzigen DNS-Anfrage, während konkurrierende Methoden wie Exposure eine Woche der vorläufigen Analyse erfordern können.

Sie beobachten:

‘Unser Ansatz kann in den frühen Stadien des Domain-Lebenszyklus angewendet werden: Mithilfe von passivem (oder aktivem) DNS können wir SPF-Regeln für neu registrierte Domains erhalten und sie sofort klassifizieren oder warten, bis wir TXT-Anfragen an diese Domain erkennen und die Klassifizierung mithilfe von schwer zu vermeidenden zeitlichen Merkmalen verfeinern.’

Und fahren fort:

‘Unser bester Klassifizierer erkennt 85% der Spam-Domains, während die Falsch-Positiv-Rate unter 1% bleibt. Die Erkennungsergebnisse sind bemerkenswert, da die Klassifizierung nur den Inhalt der Domain-SPF-Regeln und ihre Beziehungen sowie schwer zu vermeidende Merkmale auf der Grundlage des DNS-Verkehrs verwendet.

‘Die Leistung der Klassifizierer bleibt hoch, selbst wenn sie nur die statischen Merkmale erhalten, die aus einer einzigen TXT-Anfrage (passiv beobachtet oder aktiv abgefragt) gewonnen werden können.’

Um eine Präsentation über die neue Methode zu sehen, besuchen Sie bitte das eingebettete Video unten:

Erstveröffentlichung: 5. Mai 2022.