美国邮政是美国主要的包裹信件投递机构之一,长期以来该单位都是网络钓鱼和诈骗的针对目标。对美国公民来说,在假期通常都会收到声称来自美国邮政的诈骗。美国邮政甚至单独建设的网页提醒消费者警惕诈骗信息:
专用提醒网页
Akamai 的研究人员利用全球的 DNS 请求数据,分析与美国邮政有关的钓鱼网站访问情况。
诈骗短信
分析结果令分析人员大为震惊,非法域名的流量甚至超过了合法域名的流量。
收集相关数据
SecOps 团队提供了诈骗短信中使用的 JavaScript 文件,以及网页显示与诈骗短信中类似的网站域名列表。将域名中包含美国邮政(USPS)的留下,只查看针对美国邮政的攻击情况。并在五个月内数据中查询与美国邮政相关域名的 DNS 请求日志,例如:
- 以 USPS 开头
- 以 USPS 结尾
- 包含 USPS-
- 包含 -USPS
- 解析 IP 不属于美国邮政官方
这会将可疑的域名尽可能找出来,研究人员也确认了其中并没有合法网站。两部分数据合并起来,部分域名如下所示:
- usps-deliveryservice[.]icu
- uspshelp[.]vip
- usps-stampservice[.]com
- usps-lookup[.]com
- gh-usps[.]shop
恶意网站
严格的限制条件导致如 us.ps393[.]com 或 usps.parceltracker-us[.]com 等恶意域名不会被包含,这也表示研究人员的分析极为保守。但为了尽量降低误报和噪音,还是选取了小规模的数据进行分析。
恶意域名
五个月内最流行的恶意域名请求量如下所示:
域名 | 请求量 |
---|---|
usps-post[.]world | 169,379 |
uspspost[.]me | 150,052 |
usps-postoffices[.]top | 27,056 |
stamps-usps[.]online | 24,352 |
usps-shop[.]shop | 23,432 |
uspspostoffice[.]top | 22,734 |
uspspostoffices[.]top | 19,266 |
usps-post[.]today | 18,775 |
uspshelp[.]store | 6,048 |
usps-pst[.]xyz | 5,800 |
有两个恶意域名的请求量超过了十万,这二者占到总量的 29%。有大量的受害者访问这些恶意域名,这对于攻击者来说是有利可图的。这两个典型域名的请求量如下所示:
典型恶意域名请求量
恶意域名 usps-post[.]world 有可能会被受害者认为是美国邮政的国际分支机构,这些精心设计的恶意域名为攻击者带来了巨大的利润。
投递失败信息
品牌截图
usps-stampservice[.]com 在 11 月 23 日(黑色星期五前一天)开始出现流量,一直活跃到 12 月 1 日。而 uspspost[.]me 则是针对圣诞节假期进行欺诈,也有可能是针对圣·尼古拉斯日进行欺诈。
顶级域名
相关的 233 个顶级域名如下所示:
顶级域名 | 独立域名数 | 请求量 |
---|---|---|
[.]com | 4,459 | 271,278 |
[.]top | 3,063 | 274,257 |
[.]shop | 566 | 58,194 |
[.]xyz | 397 | 30,870 |
[.]org | 352 | 16,391 |
[.]info | 257 | 7,597 |
[.]net | 159 | 5,920 |
[.]life | 153 | 5,616 |
[.]vip | 105 | 8,724 |
[.]cc | 103 | 6,430 |
com 是最受欢迎的,这给受害者带来一种全球范围内的熟悉感和合法感。top 也是攻击者最喜欢的替代顶级域名,该顶级域名以恶意活动而闻名。尽管 world 的请求量很大,但涉及到的域名其实并不多。
热门 IP
恶意域名的热门解析 IP 如下所示:
IP 地址 | 归属 | 域名数量 | 请求量 | 热门域名 |
---|---|---|---|---|
155.94.151.28 | QuadraNet | 3 | 169,373 | usps-post[.]world、usps-post[.]vip、uspsos[.]com |
99.83.178.7 | Amazon | 4,333 | 107,776 | appusps[.]com、alter-usps[.]shop、usps[.]solutions |
75.2.110.227 | Amazon | 4,333 | 107,776 | appusps[.]com、alter-usps[.]shop、usps[.]solutions |
155.94.156.254 | QuadraNet | 2 | 68,386 | uspspost[.]me、uspsposts[.]com |
155.94.135.202 | QuadraNet | 2 | 63,593 | uspspost[.]me、uspsaps[.]top |
99.83.179.4 | Amazon | 2,019 | 53,889 | usps-find[.]com、usps-mlpackage[.]com |
75.2.78.236 | Amazon | 2,019 | 53,889 | usps-find[.]com、usps-mlpackage[.]com |
107.150.7.53 | QuadraNet | 2 | 49,646 | usps-postoffices[.]top、uspspostoffice[.]top |
172.86.125.227 | FranTech Solutions | 2 | 23,422 | usps-shop[.]shop、usps-shopusa[.]shop |
104.223.16.2 | QuadraNet | 3 | 21,186 | uspspostoffice[.]top、usps-post[.]vip、uspsaps[.]top |
属于 QuadraNet 的 IP 尽管只有几个域名指向它们,仍然存在大量流量。指向亚马逊的 IP 大量域名,每个域名的查询量并不大。
数据对比
恶意域名的请求量与官网的请求量大致相同,十分令人震惊。
二者比较
随着时间推移,每周的请求量显示甚至恶意流量还能超过官网。
每周流量比较
感恩节、黑色星期五和圣诞节假期,是美国一年中包裹投递量最大的时期。攻击者也相应在这些节日安排了针对美国邮政的钓鱼攻击,假日的忙碌也可能让受害者放松警惕。
结论
攻击者在圣诞节和感恩节假期发动了许多攻击,恶意域名甚至比官方网站的流量还多,这说明网络钓鱼可能比想象中的更加成功。
参考来源
Akamai