.TW顶级域的域名滥用情况分析

注：本文所说的 .TW 顶级域仅指SLD.TW这类域名，并不包含com.tw, net.tw, org.tw, idv.tw, game.tw, club.tw, ebiz.tw 等复合顶级域。


NOD 以及 DNSMon


Newly Observered Doamin（NOD）是指在DNS系统中新出现的域名，对NOD域名的监测和标记能够快速的对新出现的各种应用进行发现和分析。NOD域名经常会用来做垃圾邮件，恶意软件的分发以及botnet的C2等。此外各种灰产（赌博，色情，网络诈骗）为了避免为安全设备/程序的封杀，也经常会使用NOD来开展业务。对NOD的监控对一个完善的DNS监控系统必须具备的功能。


DNSMon系统是360netlab开发的，针对互联网DNS流量做持续不断的监控和各种异常检测的系统，如果发现了异常域名，它还能够对发生异常的域名打上多种属性的标签。标签辅助分析人员和客户对发生异常的域名进行综合判断。对NOD域名的监测是DNSMon系统的一项功能，DNSMon系统能够对新注册域名的使用情况进行及时，准确的分析。必要情况下还可以在resolver层面进行对异常域名实时的封堵。


一段时间以来，DNSMon系统不断的收到大量的以.TW为顶级域的NOD域名的告警。这类域名在DNS系统中被大量的解析。而这些域名承载的内容多数为赌博，色情，网络欺诈等灰色业务并且它们使用的基础设施较为为集中。这种异常情况引发了我们调查.TW顶级域的兴趣。



一些例子


首先来看看这类域名的样子。我们列举了部分这类域名，可以看到这部分域名奇奇怪怪，必然不会是正常操作所致。




从上图中可以看出：


 1. 域名是字母数字组合的长度不定的随机域名，推断应该是批量注册的。
 2. 其承载业务的页面title有的非常直接的涉及赌博关键字（赛马，心水论坛等等），有些则貌似是正常的公司名称。
 3. 对第二种情况，下面的图清晰的说明了其仍然是一个赌博站：
    
    


若从具体网页来看，有的是简洁跳转风格，有的是混乱模板风格，不一而足。


简洁跳转风格：





混乱模板风格：






进一步分析


为了彻底调查清楚这些域名的注册及实际使用情况，我们对.TW顶级域的域名进行深入的分析。

经过对出现告警的 .TW域名的简单统计，发现这些域名的注册时间比较集中，很容易考虑到.TW顶级域的域名是否免费注册过？

根据之前的消息，我们知道在2018年8月25号，亚运会期间，台湾域名注册商net-chinese曾经发起过免费注册使用 .TW域名一年的活动。由此看来 .TW域名的确有过免费注册的先例。

为了更准确的分析这部分数据，后续分析的数据以2018-08-25为域名注册日期的起始点。

现在初步看来只要有免费的活动，就少不了各种钻空子的羊毛党的活动。



.TW顶级域数据统计



时间范围


如上一节所说，net-chinese的免费域名开始时间是2018年8月25号。所以本次统计分析的数据仅针对2018.08.25 ~ 2019.03.27 这个时间范围内注册的域名。



基本数据


 * 根据TWNIC2018年的年度报告，TW顶级域下共有 4,798,932个域名。
 * 从这2018.08.25开始截止到2019年3月27号为止，在DNSMon中，一共监测到3,201,378个以TW为顶级域的注册域名。



注册邮箱


 * 其中单个邮箱注册域名超过10,000的就有65个。这65个邮箱注册域名总数2,991,348，占我们调研时间段总域名数的93.43%，占TW总域名数的62.33%;
 * 如果把单个邮箱注册域名放宽到1,000的就有107个。这107个邮箱注册域名总数3,143,758，占我们调研时间段总域名数的98.20%，占TW总域名数的65.51%。
 * 换句话说，现在TW顶级域至少 65.51% 的域名是由域名贩子注册的。
 * 其中最大的一个邮箱注册了200,848个域名，约占TW总域名数的4.19%，相当恐怖的一个数字。
   
   注册超过10,000个域名的邮箱具体分布如下：
   
   



对比一下CN域名的数据：


 * 根据CNNIC的第43次《中国互联网络发展状况统计报告》，截止到2018年12月，CN域名总数为21,243,000
 * 从2018年8月1日到2019年4月16日为止，在DNSMon中，共监测到5,956,594个以CN为顶级域的注册域名，占比为28.04%
 * 单个邮箱注册超过10,000的有89个，注册的域名总数为2,452,934，占调研时间段总数的41.18%，占总域名数的11.55%。
 * 单个邮箱注册超过1,000的有 817个，注册的域名总数为4,538,631，占调研时间段总数的76.20%，占总域名数的21.26%。
   
   综合来看，CN域名被米农注册情况比TW的域名好一些，尤其是单个邮箱注册超过10,000的域名总数无论比例上还是绝对值，都要比TW要少。但由于CN域名的总量较大，绝对数量来看，还是要超过TW域名的。不过无论是TW还是CN，都存在大量的米农批量注册域名的情况。


由于CN和TW域名在滥用模式上有相似的特点，下面我们以TW的域名为例来讨论，来看看这种批量注册域名的业务的应用情况。



注册时间


如果从注册时间来看的话：


 * 从2018-08-25到2018-09-31这37天的时间内注册了3,032,339个域名，占我们调研时间段注册域名数的94.71%。
 * 从2019-02-15到2019-03-13这27天内也注册了159,943个域名，占我们调研时间段内注册域名总数的4.99%。
   
   具体如下图所示：
   
   



不同注册时间下的注册邮箱


前文提到，注册超过1000个域名的邮箱共有107个，在这两拨注册高峰中，只有3个邮箱同时参与了两拨高峰的注册。





注册商


出乎我们预料的是，在注册商方面，并不是开启免费注册的net-chinese占据大头，反而是Eranet International Limited独领风骚。具体分布如下：


Eranet International Limited的实体是广东时代互联科技有限公司，是中国大陆地区唯一代理TW顶级域的域名注册商。通过其注册一个tw域名的需要的费用为每年45.16美元，比Godday的费用要高50%。在收费这么高的注册商上批量注册如此多的域名，真是令人费解。


如果我们只看第二波注册高峰，即2019年2月15号之后注册的域名来看，其注册商的分布如下：



整体来看，注册商的排名没有变化，只是各自的比例有一些调整。



为什么会这样？


最初我们推断第一波的注册主要是因为net-chinese的免费政策产生的结果。但是经过分析注册商之后发现这个推断并不成立。


在Godday上注册一个TW顶级域的域名费用大约为每年200人民币。在Eranet International Limited注册一个TW域名费用大概是307人民币。如果按照Godday的费用计算，仅2019年新注册的159,943域名总开销接近32,000,000人民币。这么高的注册费用，显然不可能支撑TW域名如此规模的滥用。


考虑到不同注册商的价格可能有较大的差异，并且我们注意到在批量注册的邮箱中，有不少是专门做域名生意的米农。在跟他们交流之后发现，一个TW的域名每年只要4～5块人民币即可，当然这个价格是批发价，1000个域名起步。


批发商1





批发商2





由此我们可以看到TW域名滥用的基本模式：


 1. 米农从注册商低价批发到大量（万计或者十万计）的TW域名。
 2. 米农讲到手的域名同样以批发的形式以较低出售/出租
 3. 需要大量域名的行业（比如：黑帽SEO/垃圾广告/灰色流量）的从业者会从米农手里批量购买这些域名


另外提一句：net-chinese开放免费注册TW顶级域有效期只有一年，可以预见，2019年8月25号之后，会相当多的TW顶级域域名会释放。



这些域名的首次访问时间


接着上面的问题，在注册了这些域名之后，这些域名第一次的DNS请求时间是和域名注册时间的差值是否有特定的关系？利用DNSMon的数据，我们统计出了域名注册时间和第一次访问时间差的累计分布图：




如果我们把注册域名成功认为是产品已经就绪，而有第一次DNS访问认为产品销售完成。那么完全销售这些域名所需时间长度如下：


 1. 4.65%的域名在1周之内会销售出去；
 2. 40%的域名在1个月之内会销售出去；
 3. 81%的域名在3个月之内会销售出去；
 4. 最难销售的10%的域名需要花3个月时间才能销售完成。



这些域名的业务


我们提取了DNSMon系统从2019-02-15开始捕获到的295664个.TW顶级域域名，并对其中245669个域名打上相应的标签，这些标签的分布如下：





可以看到，色情和赌博占据了89%的比例，有5%的域名的业务无法正常访问，2%的游戏业务，剩余的4%其他的业务类型，包括处在parking状态的，做垃圾邮件的等等。



这些域名的基础设施


这些域名主要运行在美国的多个CDN以及cloudflare上面，中国香港和南非有一小部分，剩余较少部分则运行于其他的50多个国家和地区。具体分布如下图：





这些域名的流量来源


由此更深入一步，我们希望知道如此大规模的域名的流量到底从何而来？用户是如何触发这些域名的请求的。这些域名的所有者又是如何盈利的？


利用DNSMon系统，我们查询了部分.TW域名的共生域名的URL中，有一些URL存在有 “groupmessage&isappinstalled=” 这个模式，而此模式是在微信分享的时候的特有模式。


微信分享有关的URL模式





由此我们推测，部分.TW 域名的滥用应该和微信分享有关。从公开的文章来看，微信已经对这类垃圾信息做了一定的封堵策略。为了对抗微信的封堵，其中一种技术手段就是利用大量的域名来躲避微信的封堵黑名单。


利用大量的域名来躲避微信的封堵黑名单





所以现在的一些域名注册商也开始鼓吹微信防封域名，并以此提高域名的交易价格。


注册商提供的微信防封域名



来自蜜罐数据（myci）的实锤信息


通过对某些域名的数据的捕获，我们找到了其通信的关联数据，具体如下：



从UA可以清楚的看到访问 47r06mg.tw 的流量来源来自于OPPO的数据，并且refer的URL也有清晰的关于微信群分享的URL特征。


来自sinkhole的实锤数据


通过对某些域名的数据捕获，我们找到了其通信的关联数据，具体如下：



如果点击页面上方的投诉按钮，就会进入到微信的投诉渠道。下方的投诉须知明确表明这写内容是承载在微信的平台上的。




由此可见，多域名切换在微信产业链中的需求非常旺盛。哪里能够提供大量的，低成本的域名，灰色产业链对域名的需求就会扩展到哪里。

利用DNSMon的共生域名，结合我们的蜜罐数据我们确定.TW域名恰逢时机的提供了大量的低成本的域名供灰色产业链使用。



结论


 * 截至目前（2019-03-27）.TW 顶级域中存在大量的垃圾域名，约占.TW下域名总数的的65%。
 * 这些域名主要应用于赌博，色情，垃圾邮件，网络诈骗等灰色行业。
 * 域名贩子通过注册商以极低的价格批量注册了大量的.TW域名，然后在转手卖给灰色产品的从业者。


========


 * 我们希望注册局能够严格审核注册信息的准确性、有效性，减少注册信息中的噪音，提高信息准确度。
 * 免费的顶级域TK/ML/CF/GQ/GA等黑灰产滥用广为人知，因此很多APP对这类顶级域的域名的使用进行了限制。
 * 如果在顶级域层面开放免费策略，一定要考虑到免费注册域名被滥用的可能性，以及由此引起的顶级域声誉的下降。


后续我们还会持续关注 .TW顶级域的域名使用情况。