黑产大数据:恶意邮箱迎来新爆发

 邮箱网  0条评论  4475次浏览  2021年09月17日 星期五 18:29

分享到: 更多

邮箱网讯 9月17日消息 随着移动互联网的发展,QQ、微信、手机号等社交账号逐渐成为互联网行业账号注册的主流方式,但这种认证方式并非唯一,在很多注册场景下,电子邮箱依旧占有一席之地。而在海外的业务中,电子邮箱注册依旧是较为主流的账号注册方式。

鉴于电子邮箱无需实名即可注册,在企业无法了解用户更多的相关信息的情况下,缺失对邮箱用户的标签画像。一群具有灵敏嗅觉的群体,便快速嗅到了其中的利益,他们就是行业口中的黑产。黑产可以通过手段获取大量的邮箱账号,通过邮箱账号进行虚假注册、刷单、薅羊毛、垃圾广告等方式获取利益,让企业蒙受巨大的经济和口碑损失。

本文基于永安在线对邮箱长期的监控和研究,为大家剖析基于邮箱生态的黑产活动,并给出防护思路,希望以专业、全面的视角帮助企业认知在邮箱场景下的黑灰产产业,加强防御,避免损失。

一、互联网企业争相出海,恶意邮箱呈爆发式增长

互联网大潮风起云涌,国内互联网在蓬勃发展的同时竞争也日益激烈,大批的互联网公司选择出海,为了适应海外用户以邮箱做为账号体系,在业务中开放了邮箱注册入口,与此同时也给黑产带来可乘之机。

另外,邮箱注册的成本极其低廉,公共邮箱的成本每个大概在 0.1 元到 0.2 元不等,临时邮箱的获取甚至可以是 0 成本。邮箱账号相对于手机号来说,在资源获取的方式上更为简单,且价格低廉。近期也因国内断卡行动导致黑产获取手机号的难度大大增加,手机号资源稀缺且价格昂贵,成本大约是邮箱的 10~100 倍不等。

二、恶意邮箱来源:临时邮箱 & 公共邮箱

黑产使用的邮箱账号分为两类,临时邮箱账号及公共邮箱账号,网上有着大量提供临时邮箱的网站,但有些甲方企业会设置邮箱的白名单,只允许使用某些常用的公共邮箱注册,这时候黑产就无法使用临时邮箱,不得已使用接码平台批量注册公共邮箱进行作恶。

目前我们监控到黑产使用公共邮箱、临时邮箱的占比如下图,可看出黑产更偏向于使用临时邮箱进行作恶。

三、风险邮箱现状

01

临时邮箱的数量快速增长

早在 2000 年时市场已经存在临时邮箱,随着网络越来越发达,人们也变得更加注重个人隐私,提供临时邮箱的网站也随之增加,对想保护隐私的个人来说,起到了便捷的作用;但对觊觎通过临时邮箱进行作恶的黑产来说,他们可以通过大量临时邮箱批量注册账号进行作恶。世界上最大的代码托管平台 github 上也有开源的临时邮箱系统,黑产只需要花百来块钱,买个域名,买台服务器,安装上 docker,再输入两条命令即可完成临时邮箱系统的搭建。

02

临时邮箱成本低廉,降低黑产攻击成本

大多数提供临时邮箱服务的网站,以免费提供服务来吸引用户获得流量,通过在页面上嵌入广告来盈利;少部分临时邮箱网站也会通过收费的方式来盈利,付费后提供更多的临时邮箱后缀。

临时邮箱网站上的邮箱后缀是公共的,被很多人使用过,有些邮箱后缀可能已经被甲方拉入黑名单,无法再用于注册。临时邮箱网站自身也因为成本的原因不太可能频繁换新的域名,所以某些网站除了提供免费的服务外,还可自行添加新的邮箱域名,网站提供了以下两种方法:

第二种方法适合小白用户,只要你把域名买好,再把在哪个网站买的域名、账号密码、需要设置哪个域名,通过邮件的形式告诉对方,对方将会帮你设置好所有的东西,静静等待即可使用。

虽然这样可以很方便快捷的新增一个域名用于临时邮箱,但是将自己购买的域名解析到别人的 MX 记录上,意味着别人也可以用你的域名来收发邮件,可能会被他人用于发送垃圾、钓鱼邮件,给自身带来风险。

03

临时邮箱呈头部聚集

根据永安在线的观察,提供临时邮箱的网站中最少的仅提供 1 个临时邮箱后缀,最多的网站提供的后缀数量与之相差数千倍,提供的后缀数量越多可吸引越多的用户," 长尾效应 " 极其明显。

04

单通过域名难以识别临时邮箱

临时邮箱其实是个域名,少部分临时邮箱有着很明显的特征,在域名中会直接含括 " 临时 " 含义的英文或拼音,如 tmp、linshi,如下所示:

但其余大部分域名看起来跟正常的域名一样,无法通过表面来判别是否为临时邮箱,这些域名中用的最多的顶级域名是 .com,也是国际最广泛流行的通用域名格式,从顶级域名上难以区分是否为临时邮箱:

以及这些域名的注册商不乏来自些知名的域名注册商,黑产在购买域名时也跟大多数人一样会选择知名度较高的网站,即也无法通过注册商来判断是否为临时邮箱:

还有一类较为特别的临时邮箱,以 edu.ge 后缀伪装成的校园邮箱,黑产可以用来白嫖教育优惠。 

综上所述,无论是从顶级域名、域名注册商的角度等来看,都无法很好地识别是否为临时邮箱,但可给罕见的顶级域名、域名注册商打一个较高的风险分数,结合 IP、设备等其他维度的信息做综合评估,降低风险。

05

公共邮箱中,新浪邮箱最受黑产欢迎

相对于临时邮箱,公共邮箱下也存在着不少的正常用户,黑产在使用这些公共邮箱时,跟正常用户混在一起,企业就无法像临时邮箱一样通过后缀来精准识别。永安在线监控到的黑产持有的公共邮箱后缀占比如下:

经调研发现新浪邮箱占比最高,其主要原因是因为:

- 新浪邮箱可以直接登陆新浪微博,黑产可以在新浪微博上进行账号刷赞、刷粉等恶意行为;

- 新浪微博可以登陆抖音,黑产也可以在抖音上进行账号刷赞、刷粉等恶意行为(即使是新浪微博被封禁的恶意账号也可以在抖音进行登陆,且都是正常抖音账号);

- 新浪微博作为三大社交平台(QQ、微信、微博)在其他应用场景支持授权登陆,作恶场景丰富。

四、黑产攻击手法多样,各行业都难逃黑产之手

根据永安在线的观察,近段时间黑产之间交易邮箱的数量一直呈现较为平稳的趋势,通过邮箱进行作恶的供需一直存在,在 2017 年 -2020 年间呈现爆发式增长。

利用一邮多名的特性无限注册

gmail 有个一邮多名的特性,黑产利用这个特性理论上能用一个邮箱账号生成出无限个邮箱账号:

(1)在邮箱的用户名任意位置中插入 ".",gmail 会忽略用户名中的 ".";

(2)在邮箱的用户名末尾位置插入 "+",并在 "+" 后面可插入符合邮箱用户名规范的字符,gmail 会忽略 "+" 及后面的内容。

比如我的邮箱是 dcaywsn11@gmail.com,通过一邮多名发送邮件:

在用户名中加一个 "." 发送成功:

dcaywsn1.1@gmail.com===dcaywsn11@gmail.com

在用户名每个字符间加 "." 发送成功:

d.c.a.y.w.s.n.1.1@gmail.com===dcaywsn11@gmail.com

在用户名末尾加 "+" 发送成功:

dcaywsn11+test@gmail.com===dcaywsn11@gmail.com

"." 和 "+" 一起使用发送成功:

d.c.a.y.w.s.n.1.1+test@gmail.com===dcaywsn11@gmail.com

综上所述,"." 和 "+" 一起搭配使用,即可以构造出无限种形态的邮箱账号,我们也发现已经有黑产在利用这个特性进行作恶,下图所示是某个利用一邮多名特性的临时邮箱网站:

利用临时邮箱绕过平台活动限制

某 A 平台举办签到领现金活动,黑产使用接码平台批量注册 A 平台账号,进行签到领现金操作,在提现环节,因为 A 平台限制每个支付宝账号只能绑定一个 A 平台账号,不同账号无法使用同一支付宝账号进行提现,黑产使用临时邮箱对支付宝账号邮箱进行换绑,绕过平台的限制,达到 A 平台不同账号可使用一个支付宝账号反复进行提现。

线上业务成为攻击重灾区,攻击遍布各行各业

基于邮箱使用的场景大多为线上业务开放邮箱注册的入口,这使得邮箱攻击的对象大多为互联网行业企业。基于永安在线业务安全情报平台的数据,我们对被邮箱攻击的企业中进行行业划分,并统计了攻击占比,如下所示:

五、永安在线解决方案

永安在线邮箱风险画像产品是国内唯一一家基于情报能力,通过对黑灰产团伙监控系统构建的风险邮箱画像产品,可识别覆盖国内外临时邮箱和黑产持有的各类正常邮箱账号,有效帮助企业解决账号风险问题。

对于邮箱风险画像画像返回的风险值,企业可结合不同业务场景的容忍度做综合限制策略,有效防御黑灰产为薅羊毛发起的自动化批量攻击,帮助客户减少了营销经费损失。

邮箱风险画像产品解决的场景问题

1、阻断营销作弊,避免活动经费损失

黑灰产通过恶意注册大量账号,薅取新人注册奖励(如现金红包奖励)、营销活动优惠券、邀新助力奖励(如现金或积分兑换奖品)等,可通过该产品及时阻断风险邮箱,避免活动经费被套取或变现。

2、防止恶意引流,降低用户被欺诈的风险

黑灰产通过恶意账号大量发布广告信息,进行用户引流,可能导致客户上当受骗,严重影响平台口碑。企业可在注册登录流程中接入风险邮箱画像产品,通过风险邮箱历史作恶行为发现恶意引流账号进行识别。

3、识别恶意刷量,保障业务健康运行

黑灰产通过恶意注册大量账号,进行刷帖、刷评论、刷点赞,制造不良舆论等影响论坛 / 社区氛围的行为,企业可通过风险邮箱画像产品对恶意刷量的虚假账号进行识别。

永安在线与其他邮箱风险画像产品的差异

六、应用案例

某视频平台,发现大量黑产使用临时邮箱进行注册,在业务中针对营销活动薅羊毛和投票活动刷量,给平台造成了巨大的资产损失,严重影响平台生态。为防止黑产批量注册垃圾账号进行作恶,该平台对多家供应商进行了临时邮箱识别能力的测试。测试环节中,该客户提供平台全量邮箱注册数据,永安在线邮箱风险画像识别出其中存在 22.7% 的风险邮箱,经过客户核验,识别到出的风险邮箱准确率达 98%。对比其他厂商,永安在线的邮箱风险画像产品达到该企业对精准度与覆盖度的要求,最终达成合作。

该平台在邮箱注册和邮箱绑定环节接入永安在线 " 邮箱风险画像 " 产品,对识别出的风险邮箱进行直接拦截,每日拦截风险邮箱比例高达 20%~30%。在拦截掉风险邮箱后,该平台将查询到的邮箱类型补充用户的画像标识,通过对用户进行精细化分层运营,帮助业务部门拦截大量虚假注册,让业务部门能够掌握更准确的用户数据,解决因虚假账号带来的资金损失及负面影响。

标签:大数据恶意邮箱

我的评论:

请  后发表评论。