相似域名攻击解析

您的潜在客户可能正在与看似您公司网站的恶意网站互动。这种危险的网络风险被称为相似域名攻击，正呈上升趋势，2024年注册的网页域名中有80%模仿了2000个全球品牌。

本文解释了相似域名的定义、对品牌的影响以及这些攻击增加的原因，并提供实时策略来保护企业免受域名欺骗。

什么是相似域名？

相似域名是故意注册的虚假域名，旨在模仿合法公司网站。它们被设计用来欺骗用户，使其认为正在与真实网站互动，从而让恶意行为者窃取个人信息。

为了创建误导性域名，恶意个人采用各种方法，包括：

基于输入错误的误植域名

这些是常用的欺骗域名，利用用户的典型错误：

• 误植域名：攻击者使用的相对常见的数字品牌劫持策略，主要依赖用户错误。注册与真实品牌略有拼写差异的相似域名，如用upgurd.com代替upguard.com
• 重复：这种利用涉及字符重复；例如用户可能输入upguarrd.com而不是upguard.com
• 替换：另一个常用的基于输入错误的策略是基于键盘相邻位置替换字母，如用upgiard.com代替upguard.com
• 调换：此技术交换两个相邻字符，如用ugpuard.com代替upguard.com
• 元音交换：最后，此策略涉及交换元音，如用upgoard.com代替upguard.com

基于视觉相似性的误植域名

这些策略利用不易察觉的欺骗性外观，可以轻松绕过审查：

• 添加：此技术涉及在合法域名末尾添加字母，例如用upguards.com代替upguard.com
• 同形异义字：此技术涉及使用相似的视觉字符替换目标域名中的字母。攻击者可能用西里尔字母"a"替换拉丁字母"a"，使虚假URL看起来几乎相同，并能绕过手动检测
• 顶级域名变体：攻击者在不同于官方TLD的其他TLD下注册品牌名称。例如，合法网站是upguard.com，但TLD相似域名可能是upguard.net、upguard.co或upguard.org

高级误植域名利用技术

这些新兴的操纵技术涉及稍微复杂的方法来欺骗受害者：

• 比特劫持：这种高级利用通过翻转合法域名中的一个位来引发内存损坏错误，例如用upgcard.com代替upguard.com。这 specifically 由计算机硬件错误引起，将"u"更改为"c"，导致用户请求被重定向到攻击者的欺骗域名
• 字典攻击：此类攻击将听起来合法的单词附加到域名上，例如用upguard-download.com或upguard-business.com代替upguard.com

使用欺骗域名发起的网络钓鱼攻击总量导致全球数据泄露的平均成本飙升至440万美元。相似域名不仅仅是麻烦，它们会侵蚀客户信任，可能导致运营中断，常常为更大的事件（如商业电子邮件入侵攻击）铺平道路。

威胁行为者为何使用虚假域名

相似域名是高度有利可图的攻击向量，可以用最少的努力进行利用。注册域名相对便宜，这些计划中被盗的凭据、交易和知识产权的集体价值可能达到数百万美元的利润。

相似域名可能非常有利可图，并用于以下方式：

网络钓鱼和凭据收集

相似域名通常是大多数类型网络钓鱼攻击的核心组成部分。攻击者发送看似真实的电子邮件给用户，似乎来自可信来源（如您的互联网服务提供商或内部IT部门），将受害者引导至相似域名。

虚假网站模仿真实登录页面，操纵用户输入其敏感信息或凭据，攻击者立即收集这些信息。

这是一个来自相似域名的网络钓鱼电子邮件示例，极难发现。黑客使用字母"r"和"n"来模仿"microsoft"中的"m"。即使是最具网络威胁意识的用户也很可能被这个相似域名欺骗。

商业电子邮件入侵和欺诈

BEC攻击采用更复杂的技术欺骗用户执行未经授权的转账、发送知识产权，甚至更改供应商付款信息，导致重大的财务损失。

此策略使用相似域名注册欺骗真实公司高管甚至可信供应商的电子邮件地址，如使用ceo@upgurd.com代替ceo@upguard.com。

品牌损害和声誉侵蚀

威胁行为者使用虚假域名托管恶意软件、传播错误信息或发起中间人攻击，严重损害合法品牌的声誉。这随着时间的推移导致客户流失、复杂的法律挑战，更重要的是，重建品牌信任的过程成本高昂且有时漫长。

这是一个非常令人信服的虚假Netflix登录页面示例：

来源：trendmicro.com

AI和攻击自动化

相似域名可能会增加，特别是作为一种低努力、高投资回报率的网络钓鱼策略。AI自动化以其低成本和高度可扩展性使攻击者受益。

AI工具可以快速生成数千个细微的域名变体（如误植域名或TLD变体），跨越数百个全球域名扩展。这些工具还促进网页部署更快、更顺畅。一旦注册，这些域名会自动配置免费或低成本的SSL证书。这使它们看起来安全，但实际上将受害者指向自动生成的网络钓鱼页面。允许威胁行为者通过一个提示部署复杂的多目标活动。

这是一个使用AI网页开发工具Vercel在几分钟内生成的虚假Okta登录页面示例：

来源：okta.com

品牌面临冒充风险

相似域名有几个不利结果，最终将影响整个业务。域名劫持会在财务、法律、客户服务和运营等团队中复合风险。

收入和声誉损害

通过商业电子邮件入侵诈骗、未经授权的交易和大规模数据泄露，组织可能面临直接财务损失，所有这些都通过旨在收集凭据的欺骗站点发起。

此外，当客户或合作伙伴成为域名冒充攻击的受害者时，合法品牌会承担后果。品牌有责任保护自己的数字足迹，这可能导致负面新闻、客户流失、新业务下降和长期低迷。

法律和合规风险

相似域名成为组织的雷区，组织需对这些类型攻击相关的法律和合规风险承担责任。品牌可能声名狼藉，但也可能导致PII或个人身份信息的严重数据泄露或知识产权泄露。

由于网络钓鱼攻击导致的数据盗窃违反了GDPR、CCPA和HIPAA制定的法规，组织可能面临监管罚款。如果组织在攻击前没有有效的预防措施，不合规可能变得极其昂贵。此外，公司可能面临因域名冒充导致的数据泄露而受影响的客户、供应商、合作伙伴和其他利益相关者的法律诉讼。

失去客户信任

财务损失、罚款和和解都是直接成本，但客户信任的丧失尤其具有破坏性。在客户已经被相似域名欺骗后，他们开始重新考虑未来与您品牌的每一个其他联系点，导致：

• 支持成本增加：客户会不信任每封电子邮件，在支持渠道上标记可疑的通信尝试
• 参与度降低：客户会迅速脱离合法沟通渠道，这将对销售产生连锁反应，并最终影响业务运营

客户对您品牌的忠诚度和信任可能被武器化，这就是为什么实时防止域名冒充至关重要。

如何检测相似域名

主动识别是在威胁行为者利用您品牌信誉对抗您组织的唯一方法。为了使检测有效，CISO必须采用超越基本域名搜索的持续监控方法。

基础最佳实践

您的SOC团队已经在处理警报疲劳，相似域名可能不在他们的业务关键列表上名列前茅。但它应该。

基础最佳实践包括使用DNS扫描和WHOIS检查，这有助于提供所有权和注册详细信息。但这只能告诉您这么多。您需要更进一步，因为攻击者可能使用欺诈详细信息或掩盖其身份。

另一个常用策略是执行简单搜索查询。这通常涉及使用标准搜索引擎查看有关可疑域名的公共信息。这些查询的示例包括：

• 直接域名搜索：搜索引号中的确切域名，查看是否已索引，或者任何安全论坛、博客或用户投诉站点是否已在讨论它
• 关键词关联：搜索域名以及"诈骗"、“网络钓鱼”、“恶意软件"或"评论"等术语
• 搜索运算符：使用site:your-company-login.com等运算符查看搜索引擎已为该域名索引的特定页面，这可以揭示站点内容的性质

这些查询可以提供基本信息，例如确认站点处于活动状态或找到其他已识别其为恶意站点的报告。然而，如原始文本所述，此方法是反应性的且有限；除非您已经知道这些特定变体存在并单独搜索它们，否则可能无法识别TLD变体或同形异义字。

误导性SSL证书

SSL和TLS证书：这些可以为组织提供对抗域名冒充的安全感。然而，它们也可以轻松获取并帮助攻击者欺骗用户信任虚假站点。

浏览器栏中仅存在锁定图标🔒并不保证合法性。它仅确认连接已加密，并不确认另一端的实体是他们声称的身份。攻击者依赖这种错误的安全感。

以下是识别误导性证书的方法：

• 检查验证级别：

  • 域名验证：这是最基本的证书，也是攻击者最常用的证书。它通常是免费的，仅证明申请人控制域名，不验证组织的法律身份
  • 组织验证/扩展验证：合法、成熟的企业通常使用这些更高级别的证书。它们要求证书颁发机构验证组织的法定名称、位置和其他业务详细信息

• 如何检查：单击浏览器地址栏中的锁定图标，选择"连接安全”，然后"证书有效"。检查"主题"/“颁发给”：在DV证书中，此部分将是基本的，通常仅列出域名。在OV/EV证书中，您将看到经过验证的组织名称和位置。如果您似乎在访问银行的网站，但证书缺乏组织详细信息，这是一个重大危险信号

• 查找不匹配：仔细检查证书"通用名"或"主题备用名"中列出的域名是否与您打算访问的域名完全匹配。攻击者将为其误植或同形异义字域名注册证书

高级威胁情报的优势

基础最佳实践和SSL证书都不足，因为它们仅在您知道要查找什么时才有效。高级威胁情报将您从被动立场转向主动立场，允许您在注册时拦截恶意行为者。

实时可见性为对抗相似域名和其他冒充技术提供了更强的防御。

攻击面管理平台将通过以下功能自动化检测过程：

• 持续扫描：实时全局扫描TLD以识别新扩展并与您现有品牌匹配
• 检测算法：持续监控开放网络以查找可能绕过手动检测的细微字符变体
• 可疑资产标记：在需要时提供全面可见性，帮助标记与您品牌名称或变体匹配的任何新的或可疑的注册域名，并立即将其与已知恶意基础设施的黑名单进行交叉引用

防止域名欺骗的方法

为了使检测有效，它必须与多层防御和策略协同工作。包括电子邮件身份验证、自动化监控和全面的攻击面管理。

1. 使用严格的电子邮件身份验证

电子邮件是相似域名攻击背后威胁行为者的首选工具。建立基线协议可以阻止这种情况，确保电子邮件受信任，未经授权的电子邮件被阻止。

严格的电子邮件身份验证协议可以阻止这种情况：

• SPF：SPF协议指定哪些邮件服务器被授权代表您发送电子邮件
• DKIM：DKIM协议为传出电子邮件添加数字签名，允许收件人服务器验证消息未被篡改
• DMARC：DMARC协议起着关键作用，指示收件人服务器如何处理未通过SPF和DKIM的消息，隔离或拒绝它们

此外，启用严格的电子邮件执行策略将最小化使用您相似域名的网络钓鱼活动的成功率。

2. 实施实时域名监控

手动检查无效，这一点很清楚。实时域名监控对于在相似域名注册成为活跃威胁之前识别它们至关重要。

• 自动化扫描：持续扫描数百个TLD，查找与您品牌名称、常见拼写错误、同形异义字以及拼写或字符集的近似匹配的新注册
• 集成威胁情报：新域名必须与全球威胁情报源进行交叉引用，提供全面保护。这立即标记域名并优先进行调查

3. 部署多层安全工具

多层安全工具对于寻求防御域名冒充的企业至关重要。该平台自动化整个扫描过程，并提供外部资产的持续发现。

此外，安全平台必须提供与其他SIEM解决方案的API集成。这确保相似域名警报直接路由到现有的安全工作流，实现快速协调的事件响应并自动化修复操作。

关于相似域名攻击的常见问题

相似域名总是恶意的吗？

不，不总是。有时，公司可能为合法的品牌保护注册相似域名。然而，任何未经授权的相似域名应被视为重大威胁，直到证明 otherwise。

免费SSL证书是否可以使虚假域名看起来真实？

是的，获取免费SSL证书的便利性可以使虚假域名看起来更加真实，发出合法性和安全性的信号。锁定图标的物理图像和"https"前缀可能欺骗用户错误地将相似域名视为合法品牌站点。免费证书仅确认连接已加密，它们不提供有关站点所有权或真实性的任何信息。

手动监控是否足以捕获每个相似域名？

不，不幸的是不够，因为它们充当时间点审计而不是连续扫描评估。手动监控和检查不仅耗时，而且容易出错。此外，它们无法与AI自动化的规模和速度竞争，攻击者越来越多地使用AI自动化部署众多域名冒充活动。

用UpGuard保护您在线品牌声誉的未来

保护您的品牌免受相似域名侵害不是孤立的功能。它必须集成到您的整个安全态势策略中。

UpGuard通过持续监控您选择的域名并识别可能用于冒充您品牌的各种排列来帮助您减轻相似域名的风险。

以下是它的工作方式：

• 排列识别：UpGuard采用多种策略创建相似域名，包括省略、替换或交换与相似外观的字符
• 上下文信息：对于每个潜在的相似域名，UpGuard提供详细信息，如误植域名类型、是否已注册、注册日期以及DNS记录的存在。这帮助您评估相似域名的活跃度和潜在威胁
• 早期检测：通过自动检测与您品牌令人困惑地相似的新注册域名，UpGuard有助于在网络钓鱼和鱼叉式网络钓鱼攻击完全启动之前预防它们
• 可行见解：一旦识别出潜在威胁，您有选项来解决它。您可以使用"接管域名"功能通过icann.org开始请求接管的过程，或者如果确认排列没有问题，可以"忽略域名"

UpGuard还可以帮助您检测和对抗由AI驱动工具驱动的先进品牌冒充活动，使您能够以部署速度识别AI驱动的相似域名。

UpGuard平台上检测到的AI驱动冒充威胁示例。