ICANN研究：半数以上恶意域名存在关联域名
通俗解读
ICANN 互联网名称与数字地址分配机构 协调全球DNS和gTLD政策的非营利组织。 完整定义（ICANN）技术人员研究了被举报涉及诈骗、网络钓鱼 冒充可信方窃取数据，常借助仿冒域名。 完整定义（网络钓鱼）或恶意软件 有害软件，常借助域名传播或受控。 完整定义（恶意软件）的域名 由以点分隔的标签组成、便于阅读的互联网名称。 完整定义（域名），查看了注册方、使用的域名服务器 保存域名DNS记录并应答查询的服务器。 完整定义（域名服务器）和注册时间等公开线索。结果显示，半数以上的恶意 通过域名不正当地利用他人商标的意图。 完整定义（恶意）域名与大致同时注册的其他域名存在关联。但这种方法大多只能在阻止列表 公开发布的域名或IP地址列表，用于拦截垃圾邮件、网络钓鱼或恶意软件。 完整定义（阻止列表）已经发现这些关联之后才找到它们，主要原因是注册管理机构 顶级域的中央数据库和系统，也泛指运营它们的组织。 完整定义（注册管理机构）提交数据的速度太慢。
ICANN首席技术官办公室于10月6日发布了一份报告，报告落款日期为9月18日，由四名工作人员撰写，研究被举报为恶意的域名是否与其他域名存在关联。该项工作与GNSO 通用名称支持组织 为通用顶级域制定政策的ICANN机构。 完整定义（GNSO）正在进行的一项打击DNS滥用 对域名的有害使用，ICANN合同将其定义为五种具体威胁。 完整定义（DNS滥用）的政策工作相关，其工作组 根据章程组建、研究某个政策问题并提出建议的志愿者团队。 完整定义（工作组）曾提议，注册服务机构 代客户向注册管理机构注册域名的公司。 完整定义（注册服务机构）在确认滥用案例后，利用客户和账户数据检查关联域名。而ICANN的这份报告仅依赖公开技术信号，包括注册服务机构、域名服务器、注册时间和IP 互联网协议 互联网发送数据的基本规则，为每台联网设备分配数字地址。 完整定义（IP）地址，不使用任何所有者或付款信息。
研究人员从截至2025年9月下旬进入Spamhaus 发布广泛使用的滥用域名和IP地址阻止列表的非营利组织。 完整定义（Spamhaus）或PhishTank等阻止列表的新注册gTLD 通用顶级域 不与国家挂钩、根据ICANN合同运营的顶级域。 完整定义（gTLD）域名入手，当时每天新增约4,000个域名。他们采用了三种方法：其中两种方法查找在短时间窗口内使用同一注册服务机构和域名服务器注册的域名，要求最严格的一种注册时间差须在五秒以内；第三种方法查找在同一天使用相同IP地址和域名服务器组合的域名，之后再筛选出名称相似的部分。
总体而言，56.4%的被举报域名至少找到一个关联域名，其中网络钓鱼案例的比例升至57%，恶意软件和僵尸网络 由攻击者控制的受感染计算机网络。 完整定义（僵尸网络）合计为43%，不过这两类样本量较小。该方法仅在域名进入阻止列表之前识别出4.6%的关联域名，这一差距被归因于当时注册管理机构每周才向ICANN提交一次注册数据 关于某个域名及其持有人所保存的信息。 完整定义（注册数据）。一个模型显示，若数据在30分钟内送达，早期识别率可提高到10%；最新的注册管理机构协议 ICANN与gTLD注册管理运行机构之间的合同。 完整定义（注册管理机构协议）现已要求至少每日提交一次数据。
最严格的方法平均为每个被举报域名发现2.32个额外关联域名，但其中很大一部分来自单一活动，该活动在同一后缀下批量生成算法产生的六字符域名，单批次超过6,000个；若剔除该活动，相关数字会大幅下降。