A Longitudinal Study of Recently Observed Malicious Domains: Characteristics, Infrastructure, and Abuse Patterns
本文对 2026 年 1 月至 5 月期间在 VirusTotal 上观察到的 152 万个恶意域名进行了纵向分析，通过八个维度的特征化分析，揭示了诸如攻击者创建的短寿命域名、对特定注册商及利用 Cloudflare 进行前置的重度依赖、广泛的批量注册以及显著的品牌冒充等趋势。
原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
想象一下，互联网就像一座巨大且繁忙的城市。在这座城市里，有数以百万计的“房屋”（网站），人们在其中居住、购物和工作。但也有阴暗的一面：犯罪地下世界通过建造虚假的房屋来欺骗人们、窃取他们的邮件或隐藏非法活动。
这篇论文就像是一份为期五个月的监视报告（从 2026 年 1 月到 5 月），针对这一特定犯罪房屋群体的观察。研究人员查看了由全球安全监管机构 VirusTotal 标记的约 152 万个可疑地址。他们想要了解这些坏人是如何构建其业务、躲藏在哪里以及如何欺骗人们的。
以下是他们的发现，使用了简单的类比：
1. 两类犯罪房屋
研究人员发现，几乎 10 户中的 9 户 坏房子都是由罪犯专门建造的全新建筑。
- 攻击者创建（89.3%）： 这些就像是犯罪分子为了诈骗而一夜之间在空地上搭建的“临时帐篷”或“简陋棚屋”。它们的设计初衷是短时间使用，然后弃置。
- 被入侵（10.7%）： 这些像是合法的、古老的家庭住宅被罪犯闯入了。房子原本属于一个好家庭多年，但罪犯潜入其中，更换了锁具，并开始将其用于非法业务。
2. “昙花一现”的生活方式
这些罪犯的速度极快。
- 速度： 对于这些新的“棚屋”，从建造房屋到用于犯罪的中位时间仅为 60 天。
- 匆忙： 有些甚至快到在建成后的 1 天 内就被抓获正在作恶。这就像是一个罪犯建立了一家假银行，打开大门进行抢劫，然后在警察还没写完准建证件时就逃之夭夭。这让防御者几乎没有时间去阻止他们。
3. “坏社区”（注册商和 TLD）
正如现实世界中某些街区犯罪率较高一样，互联网也有特定的“房东”和“街道名称”，罪犯喜欢在这些地方活动。
- 房东： 研究人员发现，仅仅 10 家特定的域名注册商（出售网站地址的公司）就负责了所有坏房子中的 60%。如果你是一名城市规划师，你会把反犯罪力量集中在这几位特定的房东身上。
- 街道名称： 同样，一些特定的网站结尾（如
.com、.top和.xyz）被用于 68% 的犯罪活动。罪犯会选择最便宜、最容易获取的街道名称来设置陷阱。
4. 隐身于闹市（Cloudflare 问题）
这是最有趣的发现之一。你可能认为罪犯躲在阴暗潮湿的小巷里，但实际上他们躲在城市里最声誉卓著、高科技的办公大楼中。
- Cloudflare 效应： 这 10 个顶级“地址”（IP）所属的托管平台是 Cloudflare，这是一家为合法网站提供安全和速度的大型公司。
- 类比： 这就像一群小偷租住在一家豪华五星级酒店的房间里，因为酒店的安保非常出色，所以警察很少检查里面。罪犯利用这些受信任的服务来掩盖他们的真实位置，使他们很难被追踪。
5. “坏地址”的流水线
论文发现了大规模生产的证据。
- 批次： 在单日内，罪犯会同时注册数千个域名。例如，在某一天，一家公司一次性注册了 2,168 个 新的坏地址。
- 模式： 这些地址通常看起来像随机的乱码（例如
10jfr.top）。这就像工厂在一小时内生产出数千张假身份证一样。这证明他们正在使用自动化脚本来瞬间构建他们的犯罪舰队。
6. 窃取知名品牌（品牌冒充）
罪犯喜欢伪装。
- 伪装： 他们创建看起来像知名品牌的虚假网站来欺骗人们。
- 头号目标： 被冒充最多的“品牌”是 WhatsApp、Logitech 和 Google。
- 目标： 如果你看到一个假的 WhatsApp 网站，你可能会认为它是真实的，从而输入密码，而罪犯随后就会窃取你的信息。他们还针对加密货币交易所和赌博网站，很可能是为了窃取资金或登录详情。
7. “交通拥堵”带来的伤害
并非所有的坏房子都同样危险。
- 幂律分布： 研究人员观察了访问这些坏网站的人数。他们发现，极少数的坏房子被访问了数百万次，而大多数网站的访问量非常低。
- 启示： 如果警察（或互联网防御者）能够关停那极少数的高流量坏房子，他们就能阻止绝大部分的伤害。这就像清理一个主要的交通拥堵点，而不是试图修复每一条小巷里的每一个坑洼。
总结
简而言之，这篇论文告诉我们，互联网的犯罪地下世界是快速、自动化且高度集中的。
- 他们快速建造虚假房屋并短期使用。
- 他们依赖于少数特定的“房东”和“街道名称”。
- 他们躲藏在最受信任、高安全性的建筑（Cloudflare）之中。
- 他们大规模生产虚假身份来窃取知名品牌的利益。
研究人员建议，要对抗这种现象，我们需要专注于那些特定的房东，阻止大规模生产的脚本，并优先关闭高流量的虚假网站。他们也已经分享了这份坏地址名单，以便其他研究人员可以进一步研究。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。