PhishReplicant：一种基于语言模型的生成型域名 squatting 检测方案
密码学与安全
2023-10-19 v1
摘要
域名 squatting 是攻击者用于创建钓鱼网站域名的一种技术。在近期的钓鱼活动中，我们观察到许多结合多种技术以规避现有域名 squatting 检测方法的域名。这些我们称之为生成型 squatting 域名（GSDs）的域名，在外观上与合法域名差异显著，且不包含品牌名，难以与钓鱼关联。本文提出一种名为 PhishReplicant 的系统，通过关注域名的语言相似性来检测 GSDs。我们分析了从证书透明日志、被动 DNS 与 DNS 区域文件中提取的新注册及已观测域名。在为期四周的实验中，我们检测到攻击者获取的 3,498 个域名，其中 2,821 个在检测后一个月内被用于钓鱼网站。我们还确认，所提系统在检测准确率与检测域名数量上均优于现有系统。作为深入分析，我们考察了 150 天内收集的 205k 个 GSDs，发现利用 GSDs 的钓鱼活动呈全球分布。但攻击者集中针对特定地区与行业的品牌。通过实时分析 GSDs，我们可在钓鱼网站出现前或刚出现时将其阻断。
引用
@article{arxiv.2310.11763,
title = {PhishReplicant: A Language Model-based Approach to Detect Generated Squatting Domain Names},
author = {Takashi Koide and Naoki Fukushi and Hiroki Nakano and Daiki Chiba},
journal= {arXiv preprint arXiv:2310.11763},
year = {2023}
}
备注
Accepted at ACSAC 2023