.TW顶级域的域名滥用情况分析
<blockquote><em>注：本文所说的 .TW 顶级域仅指SLD.TW这类域名，并不包含com.tw, net.tw, org.tw, idv.tw, game.tw, club.tw, ebiz.tw 等复合顶级域。</em></blockquote><!--kg-card-begin: markdown--><h1 id="noddnsmon">NOD 以及 DNSMon</h1>
<p>Newly Observered Doamin（NOD）是指在DNS系统中新出现的域名，对NOD域名的监测和标记能够快速的对新出现的各种应用进行发现和分析。NOD域名经常会用来做垃圾邮件，恶意软件的分发以及botnet的C2等。此外各种灰产（赌博，色情，网络诈骗）为了避免为安全设备/程序的封杀，也经常会使用NOD来开展业务。对NOD的监控对一个完善的DNS监控系统必须具备的功能。</p>
<p>DNSMon系统是360netlab开发的，针对互联网DNS流量做持续不断的监控和各种异常检测的系统，如果发现了异常域名，它还能够对发生异常的域名打上多种属性的标签。标签辅助分析人员和客户对发生异常的域名进行综合判断。对NOD域名的监测是DNSMon系统的一项功能，DNSMon系统能够对新注册域名的使用情况进行及时，准确的分析。必要情况下还可以在resolver层面进行对异常域名实时的封堵。</p>
<p>一段时间以来，DNSMon系统不断的收到大量的以.TW为顶级域的NOD域名的告警。这类域名在DNS系统中被大量的解析。而这些域名承载的内容多数为赌博，色情，网络欺诈等灰色业务并且它们使用的基础设施较为为集中。这种异常情况引发了我们调查.TW顶级域的兴趣。</p>
<!--kg-card-end: markdown--><!--kg-card-begin: markdown--><h1 id="">一些例子</h1>
<p>首先来看看这类域名的样子。我们列举了部分这类域名，可以看到这部分域名奇奇怪怪，必然不会是正常操作所致。<br>
<img src="__GHOST_URL__/content/images/2019/04/domain_case2-3.png" alt="domain_case2-3" loading="lazy"></p>
<p>从上图中可以看出：</p>
<ol>
<li>域名是字母数字组合的长度不定的随机域名，推断应该是批量注册的。</li>
<li>其承载业务的页面title有的非常直接的涉及赌博关键字（赛马，心水论坛等等），有些则貌似是正常的公司名称。</li>
<li>对第二种情况，下面的图清晰的说明了其仍然是一个赌博站：<br>
<img src="__GHOST_URL__/content/images/2019/04/keywords-1.png" alt="keywords-1" loading="lazy"></li>
</ol>
<p>若从具体网页来看，有的是简洁跳转风格，有的是混乱模板风格，不一而足。</p>
<h4 id="">简洁跳转风格：</h4>
<p><img src="__GHOST_URL__/content/images/2019/04/page3_simple-2.png" alt="page3_simple-2" loading="lazy"></p>
<h4 id="">混乱模板风格：</h4>
<p><img src="__GHOST_URL__/content/images/2019/04/page2_template-1.png" alt="page2_template-1" loading="lazy"></p>
<h1 id="">进一步分析</h1>
<p>为了彻底调查清楚这些域名的注册及实际使用情况，我们对.TW顶级域的域名进行深入的分析。<br>
经过对出现告警的 .TW域名的简单统计，发现这些域名的注册时间比较集中，很容易考虑到.TW顶级域的域名是否免费注册过？<br>
根据之前的<a href="https://www.mrkevin.net/share/1667.html">消息</a>，我们知道在2018年8月25号，亚运会期间，台湾域名注册商net-chinese曾经发起过免费注册使用 .TW域名一年的活动。由此看来 .TW域名的确有过免费注册的先例。<br>
为了更准确的分析这部分数据，后续分析的数据以2018-08-25为域名注册日期的起始点。<br>
现在初步看来只要有免费的活动，就少不了各种钻空子的羊毛党的活动。</p>
<!--kg-card-end: markdown--><!--kg-card-begin: markdown--><h1 id="tw">.TW顶级域数据统计</h1>
<h2 id="">时间范围</h2>
<p>如上一节所说，net-chinese的免费域名开始时间是2018年8月25号。所以本次统计分析的数据仅针对2018.08.25 ~ 2019.03.27 这个时间范围内注册的域名。</p>
<h2 id="">基本数据</h2>
<ul>
<li>根据<a href="https://www.twnic.net.tw/doc/a_report/2018/domain.htm">TWNIC2018年的年度报告</a>，TW顶级域下共有 4,798,932个域名。</li>
<li>从这2018.08.25开始截止到2019年3月27号为止，在DNSMon中，一共监测到3,201,378个以TW为顶级域的注册域名。</li>
</ul>
<h2 id="">注册邮箱</h2>
<ul>
<li>其中单个邮箱注册域名超过10,000的就有65个。这65个邮箱注册域名总数2,991,348，占我们调研时间段总域名数的93.43%，<strong>占TW总域名数的62.33%</strong>;</li>
<li>如果把单个邮箱注册域名放宽到1,000的就有107个。这107个邮箱注册域名总数3,143,758，占我们调研时间段总域名数的98.20%，<strong>占TW总域名数的65.51%</strong>。</li>
<li>换句话说，现在TW顶级域至少 <strong>65.51%</strong> 的域名是由域名贩子注册的。</li>
<li>其中最大的一个邮箱注册了<strong>200,848</strong>个域名，约占TW总域名数的<strong>4.19%</strong>，相当恐怖的一个数字。<br>
注册超过10,000个域名的邮箱具体分布如下：<br>
<img src="__GHOST_URL__/content/images/2019/03/tw_email_reg_distr_v2.png" alt="tw_email_reg_distr_v2" loading="lazy"></li>
</ul>
<h3 id="cn">对比一下CN域名的数据：</h3>
<ul>
<li>根据CNNIC的<a href="http://www.cnnic.net.cn/hlwfzyj/hlwxzbg/hlwtjbg/201902/t20190228_70645.htm">第43次《中国互联网络发展状况统计报告》</a>，截止到2018年12月，CN域名总数为21,243,000</li>
<li>从2018年8月1日到2019年4月16日为止，在DNSMon中，共监测到5,956,594个以CN为顶级域的注册域名，占比为28.04%</li>
<li>单个邮箱注册超过10,000的有89个，注册的域名总数为2,452,934，占调研时间段总数的41.18%，占总域名数的11.55%。</li>
<li>单个邮箱注册超过1,000的有 817个，注册的域名总数为4,538,631，占调研时间段总数的76.20%，占总域名数的21.26%。<br>
综合来看，CN域名被米农注册情况比TW的域名好一些，尤其是单个邮箱注册超过10,000的域名总数无论比例上还是绝对值，都要比TW要少。但由于CN域名的总量较大，绝对数量来看，还是要超过TW域名的。不过无论是TW还是CN，都存在大量的米农批量注册域名的情况。</li>
</ul>
<p>由于CN和TW域名在滥用模式上有相似的特点，下面我们以TW的域名为例来讨论，来看看这种批量注册域名的业务的应用情况。</p>
<h2 id="">注册时间</h2>
<p>如果从注册时间来看的话：</p>
<ul>
<li>从2018-08-25到2018-09-31这37天的时间内注册了3,032,339个域名，占我们调研时间段注册域名数的<strong>94.71%</strong>。</li>
<li>从2019-02-15到2019-03-13这27天内也注册了159,943个域名，占我们调研时间段内注册域名总数的<strong>4.99%</strong>。<br>
具体如下图所示：<br>
<img src="__GHOST_URL__/content/images/2019/03/create_date_distr.png" alt="create_date_distr" loading="lazy"></li>
</ul>
<h3 id="">不同注册时间下的注册邮箱</h3>
<p>前文提到，注册超过1000个域名的邮箱共有107个，在这两拨注册高峰中，只有3个邮箱同时参与了两拨高峰的注册。<br>
<img src="__GHOST_URL__/content/images/2019/03/common_email.png" alt="common_email" loading="lazy"></p>
<h2 id="">注册商</h2>
<p>出乎我们预料的是，在注册商方面，并不是开启免费注册的net-chinese占据大头，反而是Eranet International Limited独领风骚。具体分布如下：<img src="__GHOST_URL__/content/images/2019/03/registra_distr.png" alt="registra_distr" loading="lazy"></p>
<p>Eranet International Limited的实体是广东时代互联科技有限公司，是中国大陆地区唯一代理TW顶级域的域名注册商。通过其注册一个tw域名的需要的费用为每年45.16美元，比Godday的费用要高50%。在收费这么高的注册商上批量注册如此多的域名，真是令人费解。</p>
<p>如果我们只看第二波注册高峰，即2019年2月15号之后注册的域名来看，其注册商的分布如下：<br>
<img src="__GHOST_URL__/content/images/2019/03/registra_distr_2019-1.png" alt="registra_distr_2019-1" loading="lazy"><br>
整体来看，注册商的排名没有变化，只是各自的比例有一些调整。</p>
<h2 id="">为什么会这样？</h2>
<p>最初我们推断第一波的注册主要是因为net-chinese的免费政策产生的结果。但是经过分析注册商之后发现这个推断并不成立。</p>
<p>在Godday上注册一个TW顶级域的域名费用大约为每年200人民币。在Eranet International Limited注册一个TW域名费用大概是307人民币。如果按照Godday的费用计算，仅2019年新注册的159,943域名总开销接近<strong>32,000,000</strong>人民币。这么高的注册费用，显然不可能支撑TW域名如此规模的滥用。</p>
<p>考虑到不同注册商的价格可能有较大的差异，并且我们注意到在批量注册的邮箱中，有不少是专门做域名生意的米农。在跟他们交流之后发现，一个TW的域名每年只要4～5块人民币即可，当然这个价格是批发价，1000个域名起步。</p>
<h4 id="1">批发商1</h4>
<p><img src="__GHOST_URL__/content/images/2019/04/yumingpifa-1.png" alt="" loading="lazy"></p>
<h4 id="2">批发商2</h4>
<p><img src="__GHOST_URL__/content/images/2019/04/now-1.png" alt="" loading="lazy"></p>
<p>由此我们可以看到TW域名滥用的基本模式：</p>
<ol>
<li>米农从注册商低价批发到大量（万计或者十万计）的TW域名。</li>
<li>米农讲到手的域名同样以批发的形式以较低出售/出租</li>
<li>需要大量域名的行业（比如：黑帽SEO/垃圾广告/灰色流量）的从业者会从米农手里批量购买这些域名</li>
</ol>
<p>另外提一句：net-chinese开放免费注册TW顶级域有效期只有一年，可以预见，2019年8月25号之后，会相当多的TW顶级域域名会释放。</p>
<!--kg-card-end: markdown--><!--kg-card-begin: markdown--><h1 id="">这些域名的首次访问时间</h1>
<p>接着上面的问题，在注册了这些域名之后，这些域名第一次的DNS请求时间是和域名注册时间的差值是否有特定的关系？利用DNSMon的数据，我们统计出了域名注册时间和第一次访问时间差的累计分布图：<br>
<img src="__GHOST_URL__/content/images/2019/04/delta.png" alt="delta" loading="lazy"></p>
<p>如果我们把注册域名成功认为是产品已经就绪，而有第一次DNS访问认为产品销售完成。那么完全销售这些域名所需时间长度如下：</p>
<ol>
<li>4.65%的域名在1周之内会销售出去；</li>
<li>40%的域名在1个月之内会销售出去；</li>
<li>81%的域名在3个月之内会销售出去；</li>
<li>最难销售的10%的域名需要花3个月时间才能销售完成。</li>
</ol>
<h1 id="">这些域名的业务</h1>
<p>我们提取了DNSMon系统从2019-02-15开始捕获到的295664个.TW顶级域域名，并对其中245669个域名打上相应的标签，这些标签的分布如下：</p>
<p><img src="__GHOST_URL__/content/images/2019/03/domain_business.png" alt="domain_business" loading="lazy"></p>
<p>可以看到，色情和赌博占据了89%的比例，有5%的域名的业务无法正常访问，2%的游戏业务，剩余的4%其他的业务类型，包括处在parking状态的，做垃圾邮件的等等。</p>
<h1 id="">这些域名的基础设施</h1>
<p>这些域名主要运行在美国的多个CDN以及cloudflare上面，中国香港和南非有一小部分，剩余较少部分则运行于其他的50多个国家和地区。具体分布如下图：<br>
<img src="__GHOST_URL__/content/images/2019/03/infrastructure.png" alt="infrastructure" loading="lazy"></p>
<h1 id="">这些域名的流量来源</h1>
<p>由此更深入一步，我们希望知道如此大规模的域名的流量到底从何而来？用户是如何触发这些域名的请求的。这些域名的所有者又是如何盈利的？</p>
<p>利用DNSMon系统，我们查询了部分.TW域名的共生域名的URL中，有一些URL存在有 “groupmessage&amp;isappinstalled=” 这个模式，而此模式是在<a href="https://www.v2ex.com/t/401975">微信分享</a>的时候的特有模式。</p>
<h4 id="url">微信分享有关的URL模式</h4>
<p><img src="__GHOST_URL__/content/images/2019/04/related_dn_url-1.png" alt="related_dn_url-1" loading="lazy"></p>
<p>由此我们推测，部分.TW 域名的滥用应该和微信分享有关。从<a href="http://www.thinkphp.cn/code/5211.html">公开的文章</a>来看，微信已经对这类垃圾信息做了一定的封堵策略。为了对抗微信的封堵，其中一种技术手段就是利用大量的域名来躲避微信的封堵黑名单。</p>
<h4 id="">利用大量的域名来躲避微信的封堵黑名单</h4>
<p><img src="__GHOST_URL__/content/images/2019/04/wechat_block-1.png" alt="wechat_block-1" loading="lazy"></p>
<p>所以现在的一些域名注册商也开始鼓吹微信防封域名，并以此提高域名的交易价格。</p>
<h4 id="">注册商提供的微信防封域名</h4>
<img src="__GHOST_URL__/content/images/2019/04/huaimi_wechat_antiblock-2.png">
<h4 id="myci">来自蜜罐数据（myci）的实锤信息</h4>
<p>通过对某些域名的数据的捕获，我们找到了其通信的关联数据，具体如下：</p>
   <img src="__GHOST_URL__/content/images/2019/04/tw_domain_wechat_source-1.png">
<p>从UA可以清楚的看到访问 47r06mg.tw 的流量来源来自于OPPO的数据，并且refer的URL也有清晰的关于微信群分享的URL特征。</p>
<h4 id="sinkhole">来自sinkhole的实锤数据</h4>
<p>通过对某些域名的数据捕获，我们找到了其通信的关联数据，具体如下：<br>
<img src="__GHOST_URL__/content/images/2019/04/tw_domain_wechat_v2.png" alt="tw_domain_wechat_v2" loading="lazy"><br>
如果点击页面上方的投诉按钮，就会进入到微信的投诉渠道。下方的投诉须知明确表明这写内容是承载在微信的平台上的。<br>
<img src="__GHOST_URL__/content/images/2019/04/tousu_wechat.png" alt="tousu_wechat" loading="lazy"></p>
<p>由此可见，多域名切换在微信产业链中的需求非常旺盛。哪里能够提供大量的，低成本的域名，灰色产业链对域名的需求就会扩展到哪里。<br>
利用DNSMon的共生域名，结合我们的蜜罐数据我们确定.TW域名恰逢时机的提供了大量的低成本的域名供灰色产业链使用。</p>
<!--kg-card-end: markdown--><!--kg-card-begin: markdown--><h1 id="">结论</h1>
<ul>
<li>截至目前（2019-03-27）.TW 顶级域中存在大量的垃圾域名，约占.TW下域名总数的的65%。</li>
<li>这些域名主要应用于赌博，色情，垃圾邮件，网络诈骗等灰色行业。</li>
<li>域名贩子通过注册商以极低的价格批量注册了大量的.TW域名，然后在转手卖给灰色产品的从业者。</li>
</ul>
<p>========</p>
<ul>
<li>我们希望注册局能够严格审核注册信息的准确性、有效性，减少注册信息中的噪音，提高信息准确度。</li>
<li>免费的顶级域TK/ML/CF/GQ/GA等黑灰产滥用广为人知，因此很多APP对这类顶级域的域名的使用进行了限制。</li>
<li>如果在顶级域层面开放免费策略，一定要考虑到免费注册域名被滥用的可能性，以及由此引起的顶级域声誉的下降。</li>
</ul>
<p>后续我们还会持续关注 .TW顶级域的域名使用情况。</p>
<!--kg-card-end: markdown-->
注：本文所说的 .TW 顶级域仅指SLD.TW这类域名，并不包含com.tw, net.tw, org.tw, idv.tw, game.tw, club.tw, ebiz.tw 等复合顶级域。


NOD 以及 DNSMon


Newly Observered Doamin（NOD）是指在DNS系统中新出现的域名，对NOD域名的监测和标记能够快速的对新出现的各种应用进行发现和分析。NOD域名经常会用来做垃圾邮件，恶意软件的分发以及botnet的C2等。此外各种灰产（赌博，色情，网络诈骗）为了避免为安全设备/程序的封杀，也经常会使用NOD来开展业务。对NOD的监控对一个完善的DNS监控系统必须具备的功能。


DNSMon系统是360netlab开发的，针对互联网DNS流量做持续不断的监控和各种异常检测的系统，如果发现了异常域名，它还能够对发生异常的域名打上多种属性的标签。标签辅助分析人员和客户对发生异常的域名进行综合判断。对NOD域名的监测是DNSMon系统的一项功能，DNSMon系统能够对新注册域名的使用情况进行及时，准确的分析。必要情况下还可以在resolver层面进行对异常域名实时的封堵。


一段时间以来，DNSMon系统不断的收到大量的以.TW为顶级域的NOD域名的告警。这类域名在DNS系统中被大量的解析。而这些域名承载的内容多数为赌博，色情，网络欺诈等灰色业务并且它们使用的基础设施较为为集中。这种异常情况引发了我们调查.TW顶级域的兴趣。



一些例子


首先来看看这类域名的样子。我们列举了部分这类域名，可以看到这部分域名奇奇怪怪，必然不会是正常操作所致。




从上图中可以看出：


 1. 域名是字母数字组合的长度不定的随机域名，推断应该是批量注册的。
 2. 其承载业务的页面title有的非常直接的涉及赌博关键字（赛马，心水论坛等等），有些则貌似是正常的公司名称。
 3. 对第二种情况，下面的图清晰的说明了其仍然是一个赌博站：
    
    


若从具体网页来看，有的是简洁跳转风格，有的是混乱模板风格，不一而足。


简洁跳转风格：





混乱模板风格：






进一步分析


为了彻底调查清楚这些域名的注册及实际使用情况，我们对.TW顶级域的域名进行深入的分析。

经过对出现告警的 .TW域名的简单统计，发现这些域名的注册时间比较集中，很容易考虑到.TW顶级域的域名是否免费注册过？

根据之前的消息，我们知道在2018年8月25号，亚运会期间，台湾域名注册商net-chinese曾经发起过免费注册使用 .TW域名一年的活动。由此看来 .TW域名的确有过免费注册的先例。

为了更准确的分析这部分数据，后续分析的数据以2018-08-25为域名注册日期的起始点。

现在初步看来只要有免费的活动，就少不了各种钻空子的羊毛党的活动。



.TW顶级域数据统计



时间范围


如上一节所说，net-chinese的免费域名开始时间是2018年8月25号。所以本次统计分析的数据仅针对2018.08.25 ~ 2019.03.27 这个时间范围内注册的域名。



基本数据


 * 根据TWNIC2018年的年度报告，TW顶级域下共有 4,798,932个域名。
 * 从这2018.08.25开始截止到2019年3月27号为止，在DNSMon中，一共监测到3,201,378个以TW为顶级域的注册域名。



注册邮箱


 * 其中单个邮箱注册域名超过10,000的就有65个。这65个邮箱注册域名总数2,991,348，占我们调研时间段总域名数的93.43%，占TW总域名数的62.33%;
 * 如果把单个邮箱注册域名放宽到1,000的就有107个。这107个邮箱注册域名总数3,143,758，占我们调研时间段总域名数的98.20%，占TW总域名数的65.51%。
 * 换句话说，现在TW顶级域至少 65.51% 的域名是由域名贩子注册的。
 * 其中最大的一个邮箱注册了200,848个域名，约占TW总域名数的4.19%，相当恐怖的一个数字。
   
   注册超过10,000个域名的邮箱具体分布如下：
   
   



对比一下CN域名的数据：


 * 根据CNNIC的第43次《中国互联网络发展状况统计报告》，截止到2018年12月，CN域名总数为21,243,000
 * 从2018年8月1日到2019年4月16日为止，在DNSMon中，共监测到5,956,594个以CN为顶级域的注册域名，占比为28.04%
 * 单个邮箱注册超过10,000的有89个，注册的域名总数为2,452,934，占调研时间段总数的41.18%，占总域名数的11.55%。
 * 单个邮箱注册超过1,000的有 817个，注册的域名总数为4,538,631，占调研时间段总数的76.20%，占总域名数的21.26%。
   
   综合来看，CN域名被米农注册情况比TW的域名好一些，尤其是单个邮箱注册超过10,000的域名总数无论比例上还是绝对值，都要比TW要少。但由于CN域名的总量较大，绝对数量来看，还是要超过TW域名的。不过无论是TW还是CN，都存在大量的米农批量注册域名的情况。


由于CN和TW域名在滥用模式上有相似的特点，下面我们以TW的域名为例来讨论，来看看这种批量注册域名的业务的应用情况。



注册时间


如果从注册时间来看的话：


 * 从2018-08-25到2018-09-31这37天的时间内注册了3,032,339个域名，占我们调研时间段注册域名数的94.71%。
 * 从2019-02-15到2019-03-13这27天内也注册了159,943个域名，占我们调研时间段内注册域名总数的4.99%。
   
   具体如下图所示：
   
   



不同注册时间下的注册邮箱


前文提到，注册超过1000个域名的邮箱共有107个，在这两拨注册高峰中，只有3个邮箱同时参与了两拨高峰的注册。





注册商


出乎我们预料的是，在注册商方面，并不是开启免费注册的net-chinese占据大头，反而是Eranet International Limited独领风骚。具体分布如下：


Eranet International Limited的实体是广东时代互联科技有限公司，是中国大陆地区唯一代理TW顶级域的域名注册商。通过其注册一个tw域名的需要的费用为每年45.16美元，比Godday的费用要高50%。在收费这么高的注册商上批量注册如此多的域名，真是令人费解。


如果我们只看第二波注册高峰，即2019年2月15号之后注册的域名来看，其注册商的分布如下：



整体来看，注册商的排名没有变化，只是各自的比例有一些调整。



为什么会这样？


最初我们推断第一波的注册主要是因为net-chinese的免费政策产生的结果。但是经过分析注册商之后发现这个推断并不成立。


在Godday上注册一个TW顶级域的域名费用大约为每年200人民币。在Eranet International Limited注册一个TW域名费用大概是307人民币。如果按照Godday的费用计算，仅2019年新注册的159,943域名总开销接近32,000,000人民币。这么高的注册费用，显然不可能支撑TW域名如此规模的滥用。


考虑到不同注册商的价格可能有较大的差异，并且我们注意到在批量注册的邮箱中，有不少是专门做域名生意的米农。在跟他们交流之后发现，一个TW的域名每年只要4～5块人民币即可，当然这个价格是批发价，1000个域名起步。


批发商1





批发商2





由此我们可以看到TW域名滥用的基本模式：


 1. 米农从注册商低价批发到大量（万计或者十万计）的TW域名。
 2. 米农讲到手的域名同样以批发的形式以较低出售/出租
 3. 需要大量域名的行业（比如：黑帽SEO/垃圾广告/灰色流量）的从业者会从米农手里批量购买这些域名


另外提一句：net-chinese开放免费注册TW顶级域有效期只有一年，可以预见，2019年8月25号之后，会相当多的TW顶级域域名会释放。



这些域名的首次访问时间


接着上面的问题，在注册了这些域名之后，这些域名第一次的DNS请求时间是和域名注册时间的差值是否有特定的关系？利用DNSMon的数据，我们统计出了域名注册时间和第一次访问时间差的累计分布图：




如果我们把注册域名成功认为是产品已经就绪，而有第一次DNS访问认为产品销售完成。那么完全销售这些域名所需时间长度如下：


 1. 4.65%的域名在1周之内会销售出去；
 2. 40%的域名在1个月之内会销售出去；
 3. 81%的域名在3个月之内会销售出去；
 4. 最难销售的10%的域名需要花3个月时间才能销售完成。



这些域名的业务


我们提取了DNSMon系统从2019-02-15开始捕获到的295664个.TW顶级域域名，并对其中245669个域名打上相应的标签，这些标签的分布如下：





可以看到，色情和赌博占据了89%的比例，有5%的域名的业务无法正常访问，2%的游戏业务，剩余的4%其他的业务类型，包括处在parking状态的，做垃圾邮件的等等。



这些域名的基础设施


这些域名主要运行在美国的多个CDN以及cloudflare上面，中国香港和南非有一小部分，剩余较少部分则运行于其他的50多个国家和地区。具体分布如下图：





这些域名的流量来源


由此更深入一步，我们希望知道如此大规模的域名的流量到底从何而来？用户是如何触发这些域名的请求的。这些域名的所有者又是如何盈利的？


利用DNSMon系统，我们查询了部分.TW域名的共生域名的URL中，有一些URL存在有 “groupmessage&isappinstalled=” 这个模式，而此模式是在微信分享的时候的特有模式。


微信分享有关的URL模式





由此我们推测，部分.TW 域名的滥用应该和微信分享有关。从公开的文章来看，微信已经对这类垃圾信息做了一定的封堵策略。为了对抗微信的封堵，其中一种技术手段就是利用大量的域名来躲避微信的封堵黑名单。


利用大量的域名来躲避微信的封堵黑名单





所以现在的一些域名注册商也开始鼓吹微信防封域名，并以此提高域名的交易价格。


注册商提供的微信防封域名



来自蜜罐数据（myci）的实锤信息


通过对某些域名的数据的捕获，我们找到了其通信的关联数据，具体如下：



从UA可以清楚的看到访问 47r06mg.tw 的流量来源来自于OPPO的数据，并且refer的URL也有清晰的关于微信群分享的URL特征。


来自sinkhole的实锤数据


通过对某些域名的数据捕获，我们找到了其通信的关联数据，具体如下：



如果点击页面上方的投诉按钮，就会进入到微信的投诉渠道。下方的投诉须知明确表明这写内容是承载在微信的平台上的。




由此可见，多域名切换在微信产业链中的需求非常旺盛。哪里能够提供大量的，低成本的域名，灰色产业链对域名的需求就会扩展到哪里。

利用DNSMon的共生域名，结合我们的蜜罐数据我们确定.TW域名恰逢时机的提供了大量的低成本的域名供灰色产业链使用。



结论


 * 截至目前（2019-03-27）.TW 顶级域中存在大量的垃圾域名，约占.TW下域名总数的的65%。
 * 这些域名主要应用于赌博，色情，垃圾邮件，网络诈骗等灰色行业。
 * 域名贩子通过注册商以极低的价格批量注册了大量的.TW域名，然后在转手卖给灰色产品的从业者。


========


 * 我们希望注册局能够严格审核注册信息的准确性、有效性，减少注册信息中的噪音，提高信息准确度。
 * 免费的顶级域TK/ML/CF/GQ/GA等黑灰产滥用广为人知，因此很多APP对这类顶级域的域名的使用进行了限制。
 * 如果在顶级域层面开放免费策略，一定要考虑到免费注册域名被滥用的可能性，以及由此引起的顶级域声誉的下降。


后续我们还会持续关注 .TW顶级域的域名使用情况。

{"version":"0.3.1","atoms":[],"cards":[["markdown",{"markdown":"# NOD 以及 DNSMon\nNewly Observered Doamin（NOD）是指在DNS系统中新出现的域名，对NOD域名的监测和标记能够快速的对新出现的各种应用进行发现和分析。NOD域名经常会用来做垃圾邮件，恶意软件的分发以及botnet的C2等。此外各种灰产（赌博，色情，网络诈骗）为了避免为安全设备/程序的封杀，也经常会使用NOD来开展业务。对NOD的监控对一个完善的DNS监控系统必须具备的功能。\n\nDNSMon系统是360netlab开发的，针对互联网DNS流量做持续不断的监控和各种异常检测的系统，如果发现了异常域名，它还能够对发生异常的域名打上多种属性的标签。标签辅助分析人员和客户对发生异常的域名进行综合判断。对NOD域名的监测是DNSMon系统的一项功能，DNSMon系统能够对新注册域名的使用情况进行及时，准确的分析。必要情况下还可以在resolver层面进行对异常域名实时的封堵。\n\n一段时间以来，DNSMon系统不断的收到大量的以.TW为顶级域的NOD域名的告警。这类域名在DNS系统中被大量的解析。而这些域名承载的内容多数为赌博，色情，网络欺诈等灰色业务并且它们使用的基础设施较为为集中。这种异常情况引发了我们调查.TW顶级域的兴趣。\n"}],["markdown",{"markdown":"# 一些例子\n首先来看看这类域名的样子。我们列举了部分这类域名，可以看到这部分域名奇奇怪怪，必然不会是正常操作所致。\n![domain_case2-3](__GHOST_URL__/content/images/2019/04/domain_case2-3.png)\n\n从上图中可以看出：\n1. 域名是字母数字组合的长度不定的随机域名，推断应该是批量注册的。\n1. 其承载业务的页面title有的非常直接的涉及赌博关键字（赛马，心水论坛等等），有些则貌似是正常的公司名称。\n1. 对第二种情况，下面的图清晰的说明了其仍然是一个赌博站：\n![keywords-1](__GHOST_URL__/content/images/2019/04/keywords-1.png)\n\n若从具体网页来看，有的是简洁跳转风格，有的是混乱模板风格，不一而足。\n#### 简洁跳转风格：\n![page3_simple-2](__GHOST_URL__/content/images/2019/04/page3_simple-2.png)\n#### 混乱模板风格：\n![page2_template-1](__GHOST_URL__/content/images/2019/04/page2_template-1.png)\n\n# 进一步分析\n为了彻底调查清楚这些域名的注册及实际使用情况，我们对.TW顶级域的域名进行深入的分析。\n经过对出现告警的 .TW域名的简单统计，发现这些域名的注册时间比较集中，很容易考虑到.TW顶级域的域名是否免费注册过？\n根据之前的[消息](https://www.mrkevin.net/share/1667.html)，我们知道在2018年8月25号，亚运会期间，台湾域名注册商net-chinese曾经发起过免费注册使用 .TW域名一年的活动。由此看来 .TW域名的确有过免费注册的先例。\n为了更准确的分析这部分数据，后续分析的数据以2018-08-25为域名注册日期的起始点。\n现在初步看来只要有免费的活动，就少不了各种钻空子的羊毛党的活动。"}],["markdown",{"markdown":"# .TW顶级域数据统计\n## 时间范围\n如上一节所说，net-chinese的免费域名开始时间是2018年8月25号。所以本次统计分析的数据仅针对2018.08.25 ~ 2019.03.27 这个时间范围内注册的域名。\n## 基本数据\n* 根据[TWNIC2018年的年度报告](https://www.twnic.net.tw/doc/a_report/2018/domain.htm)，TW顶级域下共有 4,798,932个域名。\n* 从这2018.08.25开始截止到2019年3月27号为止，在DNSMon中，一共监测到3,201,378个以TW为顶级域的注册域名。\n\n## 注册邮箱\n* 其中单个邮箱注册域名超过10,000的就有65个。这65个邮箱注册域名总数2,991,348，占我们调研时间段总域名数的93.43%，**占TW总域名数的62.33%**;\n* 如果把单个邮箱注册域名放宽到1,000的就有107个。这107个邮箱注册域名总数3,143,758，占我们调研时间段总域名数的98.20%，**占TW总域名数的65.51%**。\n* 换句话说，现在TW顶级域至少 **65.51%** 的域名是由域名贩子注册的。\n* 其中最大的一个邮箱注册了**200,848**个域名，约占TW总域名数的**4.19%**，相当恐怖的一个数字。\n注册超过10,000个域名的邮箱具体分布如下：\n![tw_email_reg_distr_v2](__GHOST_URL__/content/images/2019/03/tw_email_reg_distr_v2.png)\n\n### 对比一下CN域名的数据：\n* 根据CNNIC的[第43次《中国互联网络发展状况统计报告》](http://www.cnnic.net.cn/hlwfzyj/hlwxzbg/hlwtjbg/201902/t20190228_70645.htm)，截止到2018年12月，CN域名总数为21,243,000\n* 从2018年8月1日到2019年4月16日为止，在DNSMon中，共监测到5,956,594个以CN为顶级域的注册域名，占比为28.04%\n* 单个邮箱注册超过10,000的有89个，注册的域名总数为2,452,934，占调研时间段总数的41.18%，占总域名数的11.55%。\n* 单个邮箱注册超过1,000的有 817个，注册的域名总数为4,538,631，占调研时间段总数的76.20%，占总域名数的21.26%。\n综合来看，CN域名被米农注册情况比TW的域名好一些，尤其是单个邮箱注册超过10,000的域名总数无论比例上还是绝对值，都要比TW要少。但由于CN域名的总量较大，绝对数量来看，还是要超过TW域名的。不过无论是TW还是CN，都存在大量的米农批量注册域名的情况。\n\n由于CN和TW域名在滥用模式上有相似的特点，下面我们以TW的域名为例来讨论，来看看这种批量注册域名的业务的应用情况。\n\n## 注册时间\n如果从注册时间来看的话：\n* 从2018-08-25到2018-09-31这37天的时间内注册了3,032,339个域名，占我们调研时间段注册域名数的**94.71%**。\n* 从2019-02-15到2019-03-13这27天内也注册了159,943个域名，占我们调研时间段内注册域名总数的**4.99%**。\n具体如下图所示：\n![create_date_distr](__GHOST_URL__/content/images/2019/03/create_date_distr.png)\n\n### 不同注册时间下的注册邮箱\n前文提到，注册超过1000个域名的邮箱共有107个，在这两拨注册高峰中，只有3个邮箱同时参与了两拨高峰的注册。\n![common_email](__GHOST_URL__/content/images/2019/03/common_email.png)\n\n\n## 注册商\n出乎我们预料的是，在注册商方面，并不是开启免费注册的net-chinese占据大头，反而是Eranet International Limited独领风骚。具体分布如下：![registra_distr](__GHOST_URL__/content/images/2019/03/registra_distr.png)\n\nEranet International Limited的实体是广东时代互联科技有限公司，是中国大陆地区唯一代理TW顶级域的域名注册商。通过其注册一个tw域名的需要的费用为每年45.16美元，比Godday的费用要高50%。在收费这么高的注册商上批量注册如此多的域名，真是令人费解。\n\n如果我们只看第二波注册高峰，即2019年2月15号之后注册的域名来看，其注册商的分布如下：\n![registra_distr_2019-1](__GHOST_URL__/content/images/2019/03/registra_distr_2019-1.png)\n整体来看，注册商的排名没有变化，只是各自的比例有一些调整。\n\n## 为什么会这样？\n最初我们推断第一波的注册主要是因为net-chinese的免费政策产生的结果。但是经过分析注册商之后发现这个推断并不成立。\n\n在Godday上注册一个TW顶级域的域名费用大约为每年200人民币。在Eranet International Limited注册一个TW域名费用大概是307人民币。如果按照Godday的费用计算，仅2019年新注册的159,943域名总开销接近**32,000,000**人民币。这么高的注册费用，显然不可能支撑TW域名如此规模的滥用。\n\n考虑到不同注册商的价格可能有较大的差异，并且我们注意到在批量注册的邮箱中，有不少是专门做域名生意的米农。在跟他们交流之后发现，一个TW的域名每年只要4～5块人民币即可，当然这个价格是批发价，1000个域名起步。\n#### 批发商1\n![](__GHOST_URL__/content/images/2019/04/yumingpifa-1.png)\n#### 批发商2\n![](__GHOST_URL__/content/images/2019/04/now-1.png)\n\n由此我们可以看到TW域名滥用的基本模式：\n1. 米农从注册商低价批发到大量（万计或者十万计）的TW域名。\n1. 米农讲到手的域名同样以批发的形式以较低出售/出租\n2. 需要大量域名的行业（比如：黑帽SEO/垃圾广告/灰色流量）的从业者会从米农手里批量购买这些域名\n\n另外提一句：net-chinese开放免费注册TW顶级域有效期只有一年，可以预见，2019年8月25号之后，会相当多的TW顶级域域名会释放。"}],["markdown",{"markdown":"# 这些域名的首次访问时间\n接着上面的问题，在注册了这些域名之后，这些域名第一次的DNS请求时间是和域名注册时间的差值是否有特定的关系？利用DNSMon的数据，我们统计出了域名注册时间和第一次访问时间差的累计分布图：\n![delta](__GHOST_URL__/content/images/2019/04/delta.png)\n\n如果我们把注册域名成功认为是产品已经就绪，而有第一次DNS访问认为产品销售完成。那么完全销售这些域名所需时间长度如下：\n1. 4.65%的域名在1周之内会销售出去；\n2. 40%的域名在1个月之内会销售出去；\n3. 81%的域名在3个月之内会销售出去；\n4. 最难销售的10%的域名需要花3个月时间才能销售完成。\n# 这些域名的业务\n我们提取了DNSMon系统从2019-02-15开始捕获到的295664个.TW顶级域域名，并对其中245669个域名打上相应的标签，这些标签的分布如下：\n\n![domain_business](__GHOST_URL__/content/images/2019/03/domain_business.png)\n\n可以看到，色情和赌博占据了89%的比例，有5%的域名的业务无法正常访问，2%的游戏业务，剩余的4%其他的业务类型，包括处在parking状态的，做垃圾邮件的等等。\n\n# 这些域名的基础设施\n这些域名主要运行在美国的多个CDN以及cloudflare上面，中国香港和南非有一小部分，剩余较少部分则运行于其他的50多个国家和地区。具体分布如下图：\n![infrastructure](__GHOST_URL__/content/images/2019/03/infrastructure.png)\n\n# 这些域名的流量来源\n由此更深入一步，我们希望知道如此大规模的域名的流量到底从何而来？用户是如何触发这些域名的请求的。这些域名的所有者又是如何盈利的？\n\n利用DNSMon系统，我们查询了部分.TW域名的共生域名的URL中，有一些URL存在有 “groupmessage&isappinstalled=” 这个模式，而此模式是在[微信分享](https://www.v2ex.com/t/401975)的时候的特有模式。\n#### 微信分享有关的URL模式\n![related_dn_url-1](__GHOST_URL__/content/images/2019/04/related_dn_url-1.png)\n\n由此我们推测，部分.TW 域名的滥用应该和微信分享有关。从[公开的文章](http://www.thinkphp.cn/code/5211.html)来看，微信已经对这类垃圾信息做了一定的封堵策略。为了对抗微信的封堵，其中一种技术手段就是利用大量的域名来躲避微信的封堵黑名单。\n#### 利用大量的域名来躲避微信的封堵黑名单\n![wechat_block-1](__GHOST_URL__/content/images/2019/04/wechat_block-1.png)\n\n所以现在的一些域名注册商也开始鼓吹微信防封域名，并以此提高域名的交易价格。\n#### 注册商提供的微信防封域名\n<img src=\"__GHOST_URL__/content/images/2019/04/huaimi_wechat_antiblock-2.png\">\n\n#### 来自蜜罐数据（myci）的实锤信息\n通过对某些域名的数据的捕获，我们找到了其通信的关联数据，具体如下：\n\n   <img src=\"__GHOST_URL__/content/images/2019/04/tw_domain_wechat_source-1.png\">\n\n从UA可以清楚的看到访问 47r06mg.tw 的流量来源来自于OPPO的数据，并且refer的URL也有清晰的关于微信群分享的URL特征。\n\n#### 来自sinkhole的实锤数据\n通过对某些域名的数据捕获，我们找到了其通信的关联数据，具体如下：\n![tw_domain_wechat_v2](__GHOST_URL__/content/images/2019/04/tw_domain_wechat_v2.png)\n如果点击页面上方的投诉按钮，就会进入到微信的投诉渠道。下方的投诉须知明确表明这写内容是承载在微信的平台上的。\n![tousu_wechat](__GHOST_URL__/content/images/2019/04/tousu_wechat.png)\n\n由此可见，多域名切换在微信产业链中的需求非常旺盛。哪里能够提供大量的，低成本的域名，灰色产业链对域名的需求就会扩展到哪里。\n利用DNSMon的共生域名，结合我们的蜜罐数据我们确定.TW域名恰逢时机的提供了大量的低成本的域名供灰色产业链使用。"}],["markdown",{"markdown":"# 结论\n* 截至目前（2019-03-27）.TW 顶级域中存在大量的垃圾域名，约占.TW下域名总数的的65%。\n* 这些域名主要应用于赌博，色情，垃圾邮件，网络诈骗等灰色行业。\n* 域名贩子通过注册商以极低的价格批量注册了大量的.TW域名，然后在转手卖给灰色产品的从业者。\n\n========\n* 我们希望注册局能够严格审核注册信息的准确性、有效性，减少注册信息中的噪音，提高信息准确度。\n* 免费的顶级域TK/ML/CF/GQ/GA等黑灰产滥用广为人知，因此很多APP对这类顶级域的域名的使用进行了限制。\n* 如果在顶级域层面开放免费策略，一定要考虑到免费注册域名被滥用的可能性，以及由此引起的顶级域声誉的下降。\n\n后续我们还会持续关注 .TW顶级域的域名使用情况。"}]],"markups":[["em"]],"sections":[[1,"blockquote",[[0,[0],1,"注：本文所说的 .TW 顶级域仅指SLD.TW这类域名，并不包含com.tw, net.tw, org.tw, idv.tw, game.tw, club.tw, ebiz.tw 等复合顶级域。"]]],[10,0],[10,1],[10,2],[10,3],[10,4],[1,"p",[]]],"ghostVersion":"3.0"}