Исследование ICANN: более половины вредоносных доменов связаны с другими доменами
простыми словами
Технический организация ICANN Штатный персонал ICANN в отличие от ее Правления и сообщества добровольцев. Полное определение термина организация ICANN изучил домены, о которых сообщали из-за мошенничества, фишинг Выдача себя за доверенную сторону ради кражи данных, часто с помощью похожих доменов. Полное определение термина фишинг или вредоносного ПО, и проверил публичные данные: кто их зарегистрировал, какие серверы использовались и когда. Более половины вредоносных доменов оказались связаны с другими доменами, зарегистрированными примерно в то же время. Но метод чаще всего находил эти связи уже после того, как домены попадали в списки блокировки, а не до этого — в основном из-за слишком медленной передачи данных от регистратура Центральная база данных и система домена верхнего уровня или, в широком смысле, организация, которая ими управляет. Полное определение термина регистратура.
Офис технического директора ICANN Интернет-корпорация по присвоению имен и номеров Некоммерческая организация, которая координирует глобальную DNS и политику в отношении gTLD. Полное определение термина ICANN опубликовал 6 октября отчет, датированный 18 сентября и подготовленный четырьмя сотрудниками, в котором исследуется, связаны ли домены, сообщенные как вредоносные, с другими доменами. Эта работа связана с текущей политической инициативой GNSO Организация поддержки доменов общего пользования Орган ICANN, который разрабатывает политику для общих доменов верхнего уровня. Полное определение термина GNSO по борьбе со злоупотреблением DNS система доменных имен Справочник интернета, который связывает доменные имена с адресами компьютеров. Полное определение термина DNS, рабочая группа Группа добровольцев, созданная по уставу для изучения вопроса политики и подготовки рекомендаций. Полное определение термина рабочая группа которой предложила, чтобы регистратор Компания, которая регистрирует доменные имена в регистратуре для своих клиентов. Полное определение термина регистратор проверяли наличие связанных доменов после подтверждения случая злоупотребления, используя данные о клиентах и учетных записях. Отчет ICANN, напротив, опирался только на публичные технические признаки: регистратора, DNS-сервер Сервер, который хранит записи DNS домена и отвечает на запросы. Полное определение термина DNS-сервер, время регистрации и IP-адреса, без каких-либо данных о владельце или платежах.
Исследователи начали с новых доменов в gTLD общий домен верхнего уровня Домен верхнего уровня, не привязанный к стране и работающий по договорам с ICANN. Полное определение термина gTLD, попавших в списки блокировки, такие как Spamhaus Некоммерческая организация, которая публикует широко используемые списки блокировки вредоносных доменов и IP-адресов. Полное определение термина Spamhaus или PhishTank, к концу сентября 2025 года, когда ежедневно добавлялось около 4 000 доменов. Они применили три метода: два искали домены, зарегистрированные у одного и того же регистратора с одинаковыми DNS-серверами в коротком временном окне — самый строгий требовал регистрации в пределах пяти секунд; третий искал домены с одинаковым сочетанием IP-адреса и DNS-сервера в один и тот же день, позже отфильтрованные по схожести имен.
По меньшей мере один связанный домен был найден для 56,4% сообщенных доменов в целом, при этом доля возрастала до 57% для случаев фишинга и до 43% для вредоносного ПО и ботнетов вместе взятых, хотя эти выборки были небольшими. Метод выявил лишь 4,6% связанных доменов до их появления в списках блокировки — этот разрыв объясняется тем, что на тот момент регистратуры передавали регистрационные данные Сведения, которые хранятся о домене и его владельце. Полное определение термина регистрационные данные в ICANN лишь раз в неделю. Модель показала, что при передаче данных в течение 30 минут раннее выявление могло бы вырасти до 10%; новое соглашение с регистратурами теперь требует передачи данных как минимум раз в сутки.
Самый строгий метод обнаружил в среднем 2,32 дополнительного домена на каждый сообщенный домен, хотя значительная часть этого результата была связана с одной кампанией, генерирующей алгоритмически созданные шестисимвольные имена в рамках одного расширения, с партиями более 6 000 доменов; при исключении этой кампании показатели заметно снижались.