Sieben auf einen Streich: Unser Gegengift für automatisch generierte Spam-Domänen

Spammer registrieren automatisch Hunderte fast identischer Domänen. Das kann manche Sicherheitslösungen verwirren. Aber wir wissen, wie man solche Domänen automatisch blockiert.

Unsere Technologie blockiert DGA-Domänen

Wir nutzen zahlreiche Technologien, um E-Mail-Spam zu erkennen. Dabei werden alle Teile einer Nachricht analysiert: Kopfzeilen, Text, Bilder und Links. Zuallererst nehmen unsere E-Mail-Produkte jedoch das Feld „Von“ unter die Lupe. Wenn diese Adresse eine Domäne enthält, die bereits auf unserer Sperrliste steht, ist der Fall klar. Spammer wissen, wie das funktioniert. Deshalb registrieren sie Domänen wie am Fließband und schaffen es sogar, dass E-Mails aus derselben Kampagne von völlig unterschiedlichen Adressen kommen. Handarbeit ist dabei längst passé. Der Prozess ist automatisiert. Die Algorithmen der Angreifer können innerhalb weniger Minuten unzählige Domänen registrieren. Natürlich braucht jede Domäne einen eigenen Namen. Sich für jede Domäne einen extra Namen auszudenken, wäre eine Menge Arbeit. Deshalb setzen die Spammer Algorithmen zur Domänen-Generierung (DGA) ein, die massenhaft ähnliche Namen mit geringfügigen Abweichungen ausspucken. Als Basis dienen Datum und Uhrzeit, pseudozufällige Zahlen und ähnliches.

Um solche Mailings zu blockieren, müssen wir aber nicht jede Adresse einzeln auf unsere Sperrliste setzen. Das Zauberwort heißt auch hier Automatisierung. Unsere E-Mail-Lösungen enthalten schon länger eine Technologie, die DGA-Domänen erkennt und mit einer einzigen Regel eine ganze Gruppe blockiert. Wir diese Technologie funktioniert, erklären wir gleich.

So erkennen und blockieren wir generierte Domänennamen

Sobald eine unserer Technologien eine E-Mail als Spam einstuft, wird die Absenderadresse genauer durchleuchtet. Wenn bestimmte Kriterien erfüllt sind, wird die Domäne in unsere Datenbank für „schlechte“ Domänen aufgenommen. Wir haben eine Auswahl von Klassifikatoren entwickelt, die diese Domänen auf Ähnlichkeiten hin vergleicht, sie zu Clustern zusammenfasst und eine kurze, umfassende Regel erstellt, die den gesamten Cluster blockiert. Unsere E-Mail-Schutzlösungen erhalten diese Regel zusammen mit einem Update. Ab diesem Zeitpunkt werden alle E-Mails von Adressen mit einer Domäne, die dieser Regel entspricht, blockiert. Auch dann, wenn diese Domänen bisher noch nicht in Spam-Kampagnen aufgetaucht sind.

In der Praxis sieht das so aus: Angenommen, der Klassifikator erkennt in unserer Sammlung „schlechter“ Domänen mehrere ähnlich aussehende Domains:

  • asia
  • asia
  • asia

Dann reicht eine einzige Regel aus, um sie alle zu erfassen: @sxkjc[a-z0-9]\.asia\b

So schützt du dein Unternehmen vor Spam

Laut unserer Analyse zählten 44,9 % der im vergangenen Jahr versendeten E-Mails zur Kategorie Spam. Unerwünschte und irrelevante E-Mails lenken Mitarbeiter ab, verschwenden Arbeitszeit und überfüllen Posteingänge. Zudem können sie betrügerische Inhalte, Phishing oder Malware einschleppen. Wir schützen unsere Geschäftskunden vor dieser Flut von Bedrohungen. Darum verfügen unsere Lösungen zum [KSMail placeholder] Schutz geschäftlicher E-Mails [/placeholder] über Anti-Spam-Technologien, die laufend optimiert werden. Dazu zählt auch die oben beschriebene Technologie, mit der DGA-generierte Domänen blockiert werden.