Prevedere nuovi domini di spam attraverso il machine learning

I ricercatori francesi hanno ideato un metodo per identificare i domini appena registrati che sono probabilmente utilizzati in modo “hit and run” da spammers ad alto volume – a volte, anche prima che gli spammers abbiano inviato un’unica email indesiderata.

La tecnica si basa sull’analisi del modo in cui il Sender Policy Framework (SPF), un metodo di verifica della provenienza delle email, è stato configurato sui domini appena registrati.

Grazie all’utilizzo di sensori DNS passivi, i ricercatori sono stati in grado di ottenere dati DNS in tempo reale dalla società con sede a Seattle Farsight, che fornisce dati SPF per record TXT per una serie di domini.

Utilizzando un algoritmo di peso di classe originariamente progettato per l’elaborazione di dati medici non bilanciati e implementato nella libreria di apprendimento automatico Python scikit-learn, i ricercatori sono stati in grado di rilevare tre quarti dei domini di spam pendenti in pochi momenti, o addirittura in anticipo sulla loro operazione.

Il documento afferma:

‘Con una singola richiesta al record TXT, rileviamo il 75% dei domini di spam, forse prima dell’inizio della campagna di spam. Pertanto, il nostro schema porta una importante velocità di reazione: possiamo rilevare gli spammers con buona performance anche prima che venga inviata qualsiasi email e prima di un picco nel traffico DNS.’

I ricercatori affermano che le caratteristiche utilizzate nella loro tecnica potrebbero essere aggiunte ai sistemi di rilevamento dello spam esistenti per aumentare le prestazioni, e senza aggiungere un sovraccarico computazionale significativo, poiché il sistema si basa su dati SPF inferiti passivamente da feed DNS in tempo reale già in uso per approcci diversi al problema.

Il documento è intitolato Rilevamento precoce di domini di spam con DNS passivo e SPF e proviene da tre ricercatori dell’Università di Grenoble.

Attività SPF

SPF è progettato per evitare lo spoofing degli indirizzi email, verificando che un indirizzo IP registrato e autorizzato sia stato utilizzato per inviare un’email.

In questo esempio di SPF, ‘Alice’ invia un’email benigna a ‘Bob’, mentre l’attaccante ‘Mallory’ tenta di impersonare Alice. Entrambi inviano posta dai propri domini, ma solo il server di Alice è registrato per inviare la posta di Alice, quindi il tentativo di spoofing di Mallory viene sventato quando la sua email falsa non supera la verifica SPF. Fonte: https://arxiv.org/pdf/2205.01932.pdf

Altri metodi di verifica delle email includono DomainKeys Identified Mail (DKIM) Signature, e Domain-based Message Authentication, Reporting, and Conformance (DMARC).

Tutti e tre i metodi devono essere registrati come record TXT (impostazioni di configurazione) presso il registrar del dominio per il dominio di invio autentico.

Spam e Burn

Gli spammers esibiscono un ‘comportamento caratteristico’ in questo senso. La loro intenzione (o, almeno, l’effetto collaterale delle loro attività) è quella di ‘bruciare’ la reputazione del dominio e dei suoi indirizzi IP inviando email di massa fino a quando non venga preso un provvedimento da parte dei fornitori di servizi di rete che vendono questi servizi; o gli indirizzi IP associati vengono registrati con le liste di spam-filter più diffuse, rendendoli inutili per l’attuale mittente (e problematici per i futuri proprietari degli indirizzi IP).

Una finestra di opportunità ristretta: il tempo, in ore, prima che un nuovo dominio di spam venga bloccato e reso inutilizzabile da SpamHaus e altri servizi di monitoraggio.

Quando la posizione del dominio non è più praticabile, gli spammers si spostano su altri domini e servizi come necessario, ripetendo la procedura con nuovi indirizzi IP e configurazioni.

Dati e Metodi

I domini studiati per la ricerca coprono il periodo di tempo tra maggio e agosto del 2021, come fornito da Farsight. Sono stati considerati solo domini appena registrati, poiché ciò corrisponde al modus operandi dello spammer persistente.

La lista dei domini è stata costruita su dati del servizio di dati della zona centrale dell’ICANN (CZDS). Le informazioni sulle blacklist provenienti dai progetti SURBL e SpamHaus sono state utilizzate per effettuare l’identificazione in tempo reale di nuove registrazioni di domini potenzialmente problematiche – sebbene gli autori ammettano che la natura imperfetta delle liste di spam possa portare a domini benigni che vengono accidentalmente categorizzati come potenziali fonti di email di massa.

Dopo aver catturato le query DNS TXT ai nuovi domini registrati trovati nel feed DNS passivo, sono state mantenute solo le query con dati SPF validi, fornendo la verità di base per gli algoritmi.

SPF ha una serie di caratteristiche utilizzabili; il nuovo documento ha scoperto che mentre i proprietari di domini ‘benigni’ utilizzano più comunemente il meccanismo +include, gli spammers hanno il più alto utilizzo della funzione (ora deprecata) +ptr.

Utilizzo delle regole SPF degli spammers, confrontato con l’utilizzo standard.

Un lookup +ptr confronta l’indirizzo IP del mittente con qualsiasi record esistente per un’associazione tra quell’IP e il nome host (ad esempio GoDaddy ). Se il nome host viene scoperto, il suo dominio viene confrontato con quello utilizzato per primo per fare riferimento al record SPF.

Gli spammers possono sfruttare l’apparente rigore del +ptr per presentarsi in una luce più credibile, quando in realtà le risorse necessarie per condurre ricerche +ptr su larga scala causano molti provider a saltare completamente il controllo.

In breve, il modo in cui gli spammers utilizzano SPF per assicurarsi una finestra di opportunità prima che l’operazione ‘blast and burn’ inizi, rappresenta una caratteristica signature che può essere inferita dall’analisi automatica.

Relazioni SPF caratteristiche per domini di spam.

Poiché gli spammers spesso si spostano su intervalli di IP e risorse molto vicini, i ricercatori hanno sviluppato un grafico di relazioni per esplorare la correlazione tra intervalli di IP e domini. Il grafico può essere aggiornato quasi in tempo reale in risposta a nuovi dati da SpamHaus e altre fonti, diventando più utile e completo nel corso del tempo.

I ricercatori affermano:

‘Lo studio di queste strutture può evidenziare potenziali domini di spam. Nel nostro dataset, abbiamo trovato [strutture] in cui decine di domini utilizzavano la stessa regola SPF e la maggior parte di essi appariva nelle liste nere di spam. Pertanto, è ragionevole supporre che i restanti domini siano probabilmente non ancora stati rilevati o non sono ancora attivi come domini di spam.’

Risultati

I ricercatori hanno confrontato la latenza di rilevamento dei domini di spam del loro approccio con SpamHaus e SURBL nel corso di un periodo di 50 ore. Riferiscono che per il 70% dei domini di spam identificati, il loro sistema era più veloce, sebbene ammettano che il 26% dei domini di spam identificati sia apparso nelle liste nere commerciali nell’ora successiva. Il 30% dei domini era già in una lista nera quando è apparso nel feed DNS passivo.

Gli autori affermano un punteggio F1 dell’79% rispetto alla verità di base basata su una singola query DNS, mentre metodi concorrenti come Exposure possono richiedere una settimana di analisi preliminare.

Osservano:

‘Il nostro schema può essere applicato alle prime fasi del ciclo di vita di un dominio: utilizzando DNS passivo (o attivo), possiamo ottenere regole SPF per nuovi domini registrati e classificarli immediatamente, o aspettare fino a quando non rileviamo query TXT al dominio e raffinare la classificazione utilizzando caratteristiche temporali difficili da evitare.’

E continuano:

‘[Il nostro] miglior classificatore rileva l’85% dei domini di spam mantenendo un tasso di falsi positivi inferiore all’1%. I risultati di rilevamento sono notevoli considerando che la classificazione utilizza solo il contenuto delle regole SPF del dominio e le loro relazioni, e caratteristiche difficili da evitare basate sul traffico DNS.

‘La prestazione dei classificatori rimane alta, anche se vengono fornite solo le caratteristiche statiche che possono essere raccolte da una singola query TXT (osservata passivamente o attivamente richiesta).’

Per vedere una presentazione sul nuovo metodo, guarda il video incorporato qui sotto:

Pubblicato per la prima volta il 5 maggio 2022.