URL

Diese Seite informiert über die im DFN-MailSupport eingesetzten Schutzmechanismen zur Erkennung schädlicher URLs in E-Mails. Erfahren Sie, wie Phishing-Versuche, Malware-Downloads und die Verschleierung von Links automatisiert analysiert werden.

URL-Checks

Phishing von Passwörtern, Download von Malware und sonstige Betrugsversuche werden oft über vom Angreifer erstellte Webseiten durchgeführt, deren URLs in Emails an die Opfer versendet werden. Zunehmend werden auch Webauftritte von Onlineshops, Firmen, etc. hierfür mißbraucht, deren Contentmanagementsysteme Bugs aufweisen. Weiterhin werden zur Verschleierung Short-URL-Provider benutzt, um die tatsächliche URL vor dem Opfer zu verstecken. Folgende Mechanismen werden im DFN-MailSupport eingesetzt, um böswillige URLs in Emails zu erkennen:

NameTypQuelle
blurl.ndb, jurlbl.ndb, jurlbla.ndb, urlhaus.ndb,
winnow_phish_complete_url.ndb, bofhland_cracked_URL.ndb,
bofhland_malware_URL.ndb,
bofhland_phishing_URL.ndb		ClamAV-Patternhttp://sanesecurity.com/usage/signatures/
uribl.spameatingmonkey.netRBL-Abfragen durch Spamassassinhttps://spameatingmonkey.com/services
DBL, ZRDRBL-Abfragen durch Spamassassinhttps://www.spamhaus.com/dataset/content-blocklists/
CERT phishing URLsSpamassassin-Rulesmanueller Feed vom DFN-CERT
Cobalt Dickens ListeRBL-Abfragen durch postfix
Heuristikendiverse Spamassassin-Ruleshttps://cwiki.apache.org/confluence/display/SPAMASSASSIN/RuleUpdates
DecodeShortURLsAuflösung von Short-URLshttps://github.com/smfreegard/DecodeShortURLs

Schließlich interpretieren offensichtlich diverse Mailclients das in böswilligen HTML-Emails enthaltene Javascript, die der Verschleierung von URLs dienen. Wir bieten auch grobe Checks an, die Javascript erkennen und pauschal blocken, diese können allerdings u.U. false positives verursachen. Wenden Sie sich hierfür bitte an die Hotline.