Prévision de nouveaux domaines de spam grâce à l’apprentissage automatique

Des chercheurs français ont mis au point une méthode pour identifier les domaines nouvellement enregistrés qui sont susceptibles d’être utilisés de manière éphémère par des spammers à haute volumétrie – parfois, même avant que les spammers n’aient envoyé un seul courrier électronique indésirable.

La technique est basée sur l’analyse de la façon dont le Sender Policy Framework (SPF), une méthode de vérification de l’origine des courriers électroniques, a été configuré sur les domaines nouvellement enregistrés.

Grâce à l’utilisation de capteurs DNS passifs (système de noms de domaine), les chercheurs ont pu obtenir des données DNS en temps réel à partir de la société Farsight, basée à Seattle, ce qui leur a fourni des informations sur l’activité SPF pour les enregistrements TXT pour une gamme de domaines.

En utilisant un algorithme de poids de classe originellement conçu pour traiter des données médicales déséquilibrées, et mis en œuvre dans la bibliothèque d’apprentissage automatique Python scikit-learn, les chercheurs ont pu détecter les trois quarts des domaines de spam en attente en quelques instants, ou même avant leur mise en service.

Le document indique:

‘Avec une seule requête à l’enregistrement TXT, nous détectons 75 % des domaines de spam, possiblement avant le début de la campagne de spam. Ainsi, notre schéma apporte une importante rapidité de réaction: nous pouvons détecter les spammers avec une bonne performance, même avant qu’aucun courrier ne soit envoyé et avant une augmentation du trafic DNS.’

Les chercheurs affirment que les fonctionnalités utilisées dans leur technique pourraient être ajoutées aux systèmes de détection de spam existants pour améliorer les performances, sans ajouter de surcharge de calcul significative, puisque le système repose sur des données SPF passivement déduites de flux DNS en temps réel déjà utilisés pour différentes approches du problème.

Le document est intitulé Détection précoce des domaines de spam avec DNS passif et SPF, et provient de trois chercheurs de l’Université de Grenoble.

Activité SPF

Le SPF est conçu pour éviter la falsification des adresses e-mail, en vérifiant qu’une adresse IP enregistrée et autorisée a été utilisée pour envoyer un courrier électronique.

Dans cet exemple de SPF, ‘Alice’ envoie un courrier électronique benin à ‘Bob’, tandis que l’attaquant ‘Mallory’ tente d’usurper l’identité d’Alice. Les deux envoient des courriers de leurs propres domaines, mais seul le serveur d’Alice est enregistré pour envoyer les courriers d’Alice, donc la tentative de spoofing de Mallory est contrecarrée lorsque son faux courrier échoue à la vérification SPF. Source: https://arxiv.org/pdf/2205.01932.pdf

D’autres méthodes de vérification des courriers électroniques incluent les signatures DomainKeys Identified Mail (DKIM) et l’authentification, les rapports et la conformité basés sur le domaine (DMARC).

Ces trois méthodes doivent être enregistrées en tant qu’enregistrements TXT (paramètres de configuration) auprès du registre de domaine pour le domaine d’expédition authentique.

Spam et brûlage

Les spammers présentent un comportement caractéristique à cet égard. Leur intention (ou, du moins, l’effet collatéral de leurs activités) est de « brûler » la réputation du domaine et de ses adresses IP en envoyant des courriers électroniques en masse jusqu’à ce que des mesures soient prises par les fournisseurs de services réseau qui vendent ces services; ou que les adresses IP associées soient enregistrées avec des listes de filtres de spam populaires, les rendant inutiles pour l’expéditeur actuel (et problématiques pour les futurs propriétaires des adresses IP).

Une fenêtre d’opportunité étroite: le temps, en heures, avant qu’un nouveau domaine de spam ne soit interdit et rendu inutile par SpamHaus et divers autres services de surveillance.

Lorsque l’emplacement du domaine n’est plus praticable, les spammers passent à d’autres domaines et services si nécessaire, en répétant la procédure avec de nouvelles adresses IP et configurations.

Données et méthodes

Les domaines étudiés pour la recherche couvrent la période comprise entre mai et août 2021, telle que fournie par Farsight. Seuls les domaines fraîchement enregistrés ont été pris en compte, car cela correspond au modus operandi du spammer persistant.

La liste des domaines a été établie à partir des données du service de données de zone centrale de l’ICANN (CZDS). Les informations de liste noire du projet SURBL et SpamHaus ont été utilisées pour effectuer l’identification en temps réel de nouveaux enregistrements de domaines potentiellement problématiques – bien que les auteurs reconnaissent que la nature imparfaite des listes de spam peut conduire à des domaines bénins étant accidentellement classés comme sources potentielles de courriers électroniques en masse.

Après avoir capturé les requêtes DNS TXT pour les nouveaux domaines enregistrés trouvés dans le flux DNS passif, seules les requêtes avec des données SPF valides ont été conservées, fournissant la vérité de base pour les algorithmes.

Le SPF a un certain nombre de fonctionnalités utilisables; le nouveau document a constaté que, alors que les propriétaires de domaines « bénins » utilisent le plus souvent le mécanisme +include, les spammers ont l’utilisation la plus élevée de la fonctionnalité (maintenant obsolète) +ptr.

Utilisation des règles SPF par les spammers, comparée à l’utilisation standard.

Une recherche +ptr compare l’adresse IP du courrier électronique envoyé à tout enregistrement existant pour une association entre cette adresse IP et le nom d’hôte (par exemple GoDaddy ). Si le nom d’hôte est découvert, son domaine est comparé à celui qui a été utilisé pour référencer l’enregistrement SPF.

Les spammers peuvent exploiter l’apparente rigueur de +ptr pour se présenter sous un jour plus crédible, alors que, en fait, les ressources nécessaires pour effectuer des recherches +ptr à grande échelle font que de nombreux fournisseurs omettent purement et simplement de vérifier.

En résumé, la façon dont les spammers utilisent le SPF pour sécuriser une fenêtre d’opportunité avant que l’opération « blast and burn » ne commence, représente une signature caractéristique qui peut être déduite par analyse automatique.

Relations SPF caractéristiques pour les domaines de spam.

Puisque les spammers passent souvent à des plages d’adresses IP et des ressources très proches, les chercheurs ont élaboré un graphique de relation pour explorer la corrélation entre les plages d’adresses IP et les domaines. Le graphique peut être mis à jour presque en temps réel en réponse à de nouvelles données de SpamHaus et d’autres sources, devenant plus utile et complet au fil du temps.

Les chercheurs déclarent:

‘L’étude de ces structures peut mettre en évidence des domaines de spam potentiels. Dans notre ensemble de données, nous avons trouvé [des structures] dans lesquelles des dizaines de domaines utilisaient la même règle SPF et la majorité d’entre eux figuraient sur les listes noires de spam. Il est donc raisonnable de supposer que les domaines restants sont susceptibles de ne pas avoir encore été détectés ou ne sont pas encore des domaines de spam actifs.’

Résultats

Les chercheurs ont comparé la latence de détection des domaines de spam de leur approche à celle de SpamHaus et SURBL sur une période de 50 heures. Ils rapportent que, pour 70 % des domaines de spam identifiés, leur propre système était plus rapide, même s’ils admettent que 26 % des domaines de spam identifiés sont apparus dans les listes noires commerciales dans l’heure suivante. 30 % des domaines étaient déjà dans une liste noire lorsqu’ils sont apparus dans le flux DNS passif.

Les auteurs revendiquent un score F1 de 79 % par rapport à la vérité de base basée sur une seule requête DNS, tandis que des méthodes concurrentes telles que Exposure peuvent nécessiter une semaine d’analyse préliminaire.

Ils observent:

‘Notre schéma peut être appliqué aux premiers stades du cycle de vie d’un domaine: en utilisant DNS passif (ou actif), nous pouvons obtenir des règles SPF pour les domaines nouvellement enregistrés et les classer immédiatement, ou attendre jusqu’à ce que nous détectons des requêtes TXT pour ce domaine et raffiner la classification en utilisant des fonctionnalités temporelles difficiles à éviter.’

Et poursuivent:

‘[Notre] meilleur classificateur détecte 85 % des domaines de spam tout en maintenant un taux de faux positifs inférieur à 1 %. Les résultats de détection sont remarquables étant donné que la classification n’utilise que le contenu des règles SPF de domaine et leurs relations, ainsi que des fonctionnalités difficiles à éviter basées sur le trafic DNS.

‘La performance des classificateurs reste élevée, même s’ils ne sont donnés que les fonctionnalités statiques qui peuvent être recueillies à partir d’une seule requête TXT (observée passivement ou interrogée activement).’

Pour voir une présentation sur la nouvelle méthode, consultez la vidéo intégrée ci-dessous:

Publié pour la première fois le 5 mai 2022.