未知的垃圾邮件发送行为
<h2 id="2021-05-13">2021-05-13</h2><p>同步一下DNSMon最近发现的一个现象，可能是和垃圾邮件相关，现在无法进一步实锤。</p><p>1. 在DNSMon中，从5.11开始，发现了大概15个形如 “^mail\.[a-z0-9]{5,7}\.cn” 的域名。解析的IP地址全部集中在百度。</p><!--kg-card-begin: markdown--><pre><code>mail.uizhx4t.cn
mail.vm47jcn.cn
mail.x1gi4me.cn
mail.x3w13mq.cn
mail.x98nb5r.cn
mail.xico1d.cn
mail.xs58782.cn
mail.ylt19px.cn
</code></pre>
<!--kg-card-end: markdown--><p>2. 从域名whois注册人的邮箱来看，大部分都注册了超过1000个域名，应该是域名贩子或者是做域名出租生意的。</p><p>3. 大概在百级别，地理位置分布比较均匀，全国每个省都有并且数量和经济发达程度呈正相关。</p><p>4. 有趣的地方在这里，通过时序关联域名查看，几乎<strong>每个域名都和如下域名有较强的关联</strong>：</p><!--kg-card-begin: markdown--><pre><code>20210511    1.000000    175         mail.u5hymh4.cn    # 被查询域名自身
20210511    0.188571    33          outlook.jp 		# outlook的日本站
20210511    0.165714    29          bloomberg.net	# 彭博社的域名，看dns记录主要是邮件记录以及和防垃圾邮件相关的txt记录。
20210511    0.120000    21          edm.tebon.com.cn # 德邦证券的域名，DNS解析记录仍然为MX邮件记录
20210511    0.085714    15          u5hymh4.cn       # 被查询域名的二级域名
20210511    0.057143    10          sbrs.glb.cellopoint.com  #  位于台湾的一家防垃圾邮件的公司
20210511    0.051429    9           x3w13mq.cn 		# 和被查域名相关的另外一个域名。
</code></pre>
<!--kg-card-end: markdown--><p>5. 这类域名还有两个显著的特点：</p><blockquote>1. 几乎都有_dmarc 和 _domainkey（DKIM）等用于垃圾邮件检测的记录。</blockquote><blockquote>2. 从去年底到今年4月份，这些域名有一波随机子域名的解析记录，数量不多，解析结果在境外的阿里云。</blockquote><p>6. 补一个图链接：<a href="https://graph.netlab.qihoo.net/#/explorer?snapshot=609c89f7f76ea30104ab158b" rel="noopener noreferrer">https://graph.netlab.qihoo.net/#/explorer?snapshot=609c89f7f76ea30104ab158b</a> </p><h2 id="2021-06-07">2021-06-07</h2><p>7. 更新在20210607， 新一批域名出现，规模和之前发现的类似，域名注册人也完全相同。此次行动的起始点为20210525。 和5月初的不同主要体现在：</p><!--kg-card-begin: markdown--><ul>
<li>
<ol>
<li>域名不同。此次出现的域名和上次出现的域名没有重合。不过此次出现的域名从passivedns上来看，在20210430～20210506这段时间使用过一次。</li>
</ol>
</li>
<li>
<ol start="2">
<li>使用的基础设施不同。此次使用的基础设施不再用百度云的IP地址。使用了芬兰，美国和俄国的IP地址。</li>
</ol>
</li>
</ul>
<!--kg-card-end: markdown--><!--kg-card-begin: markdown--><p>相应的图链接：<a href="https://graph.netlab.qihoo.net/#/explorer?snapshot=60bd85ffcca5218c58248f4b">https://graph.netlab.qihoo.net/#/explorer?snapshot=60bd85ffcca5218c58248f4b</a></p>
<!--kg-card-end: markdown--><p>持续更新中ing</p>
2021-05-13

同步一下DNSMon最近发现的一个现象，可能是和垃圾邮件相关，现在无法进一步实锤。

1. 在DNSMon中，从5.11开始，发现了大概15个形如 “^mail\.[a-z0-9]{5,7}\.cn” 的域名。解析的IP地址全部集中在百度。

mail.uizhx4t.cn
mail.vm47jcn.cn
mail.x1gi4me.cn
mail.x3w13mq.cn
mail.x98nb5r.cn
mail.xico1d.cn
mail.xs58782.cn
mail.ylt19px.cn



2. 从域名whois注册人的邮箱来看，大部分都注册了超过1000个域名，应该是域名贩子或者是做域名出租生意的。

3. 大概在百级别，地理位置分布比较均匀，全国每个省都有并且数量和经济发达程度呈正相关。

4. 有趣的地方在这里，通过时序关联域名查看，几乎每个域名都和如下域名有较强的关联：

20210511    1.000000    175         mail.u5hymh4.cn    # 被查询域名自身
20210511    0.188571    33          outlook.jp 		# outlook的日本站
20210511    0.165714    29          bloomberg.net	# 彭博社的域名，看dns记录主要是邮件记录以及和防垃圾邮件相关的txt记录。
20210511    0.120000    21          edm.tebon.com.cn # 德邦证券的域名，DNS解析记录仍然为MX邮件记录
20210511    0.085714    15          u5hymh4.cn       # 被查询域名的二级域名
20210511    0.057143    10          sbrs.glb.cellopoint.com  #  位于台湾的一家防垃圾邮件的公司
20210511    0.051429    9           x3w13mq.cn 		# 和被查域名相关的另外一个域名。



5. 这类域名还有两个显著的特点：

1. 几乎都有_dmarc 和 _domainkey（DKIM）等用于垃圾邮件检测的记录。

2. 从去年底到今年4月份，这些域名有一波随机子域名的解析记录，数量不多，解析结果在境外的阿里云。

6. 补一个图链接：https://graph.netlab.qihoo.net/#/explorer?snapshot=609c89f7f76ea30104ab158b


2021-06-07

7. 更新在20210607， 新一批域名出现，规模和之前发现的类似，域名注册人也完全相同。此次行动的起始点为20210525。 和5月初的不同主要体现在：

 * 
   
   1. 域名不同。此次出现的域名和上次出现的域名没有重合。不过此次出现的域名从passivedns上来看，在20210430～20210506这段时间使用过一次。
   
 * 
   
   2. 使用的基础设施不同。此次使用的基础设施不再用百度云的IP地址。使用了芬兰，美国和俄国的IP地址。
   


相应的图链接：https://graph.netlab.qihoo.net/#/explorer?snapshot=60bd85ffcca5218c58248f4b


持续更新中ing
{"version":"0.3.1","atoms":[],"cards":[["markdown",{"markdown":"```\nmail.uizhx4t.cn\nmail.vm47jcn.cn\nmail.x1gi4me.cn\nmail.x3w13mq.cn\nmail.x98nb5r.cn\nmail.xico1d.cn\nmail.xs58782.cn\nmail.ylt19px.cn\n```"}],["markdown",{"markdown":"```\n20210511    1.000000    175         mail.u5hymh4.cn    # 被查询域名自身\n20210511    0.188571    33          outlook.jp \t\t# outlook的日本站\n20210511    0.165714    29          bloomberg.net\t# 彭博社的域名，看dns记录主要是邮件记录以及和防垃圾邮件相关的txt记录。\n20210511    0.120000    21          edm.tebon.com.cn # 德邦证券的域名，DNS解析记录仍然为MX邮件记录\n20210511    0.085714    15          u5hymh4.cn       # 被查询域名的二级域名\n20210511    0.057143    10          sbrs.glb.cellopoint.com  #  位于台湾的一家防垃圾邮件的公司\n20210511    0.051429    9           x3w13mq.cn \t\t# 和被查域名相关的另外一个域名。\n```"}],["markdown",{"markdown":"* 1. 域名不同。此次出现的域名和上次出现的域名没有重合。不过此次出现的域名从passivedns上来看，在20210430～20210506这段时间使用过一次。\n* 2. 使用的基础设施不同。此次使用的基础设施不再用百度云的IP地址。使用了芬兰，美国和俄国的IP地址。"}],["markdown",{"markdown":"相应的图链接：https://graph.netlab.qihoo.net/#/explorer?snapshot=60bd85ffcca5218c58248f4b"}]],"markups":[["strong"],["a",["href","https://graph.netlab.qihoo.net/#/explorer?snapshot=609c89f7f76ea30104ab158b","rel","noopener noreferrer"]]],"sections":[[1,"h2",[[0,[],0,"2021-05-13"]]],[1,"p",[[0,[],0,"同步一下DNSMon最近发现的一个现象，可能是和垃圾邮件相关，现在无法进一步实锤。"]]],[1,"p",[[0,[],0,"1. 在DNSMon中，从5.11开始，发现了大概15个形如 “^mail\\.[a-z0-9]{5,7}\\.cn” 的域名。解析的IP地址全部集中在百度。"]]],[10,0],[1,"p",[[0,[],0,"2. 从域名whois注册人的邮箱来看，大部分都注册了超过1000个域名，应该是域名贩子或者是做域名出租生意的。"]]],[1,"p",[[0,[],0,"3. 大概在百级别，地理位置分布比较均匀，全国每个省都有并且数量和经济发达程度呈正相关。"]]],[1,"p",[[0,[],0,"4. 有趣的地方在这里，通过时序关联域名查看，几乎"],[0,[0],1,"每个域名都和如下域名有较强的关联"],[0,[],0,"："]]],[10,1],[1,"p",[[0,[],0,"5. 这类域名还有两个显著的特点："]]],[1,"blockquote",[[0,[],0,"1. 几乎都有_dmarc 和 _domainkey（DKIM）等用于垃圾邮件检测的记录。"]]],[1,"blockquote",[[0,[],0,"2. 从去年底到今年4月份，这些域名有一波随机子域名的解析记录，数量不多，解析结果在境外的阿里云。"]]],[1,"p",[[0,[],0,"6. 补一个图链接："],[0,[1],1,"https://graph.netlab.qihoo.net/#/explorer?snapshot=609c89f7f76ea30104ab158b"],[0,[],0," "]]],[1,"h2",[[0,[],0,"2021-06-07"]]],[1,"p",[[0,[],0,"7. 更新在20210607， 新一批域名出现，规模和之前发现的类似，域名注册人也完全相同。此次行动的起始点为20210525。 和5月初的不同主要体现在："]]],[10,2],[10,3],[1,"p",[[0,[],0,"持续更新中ing"]]]],"ghostVersion":"3.0"}