Web的十大可疑顶级域名，你知道么？

就像所有城市一样，互联网也有一些频繁发生可疑活动的地区，比如垃圾邮件、网络诈骗、有潜在威胁的软件、恶意软件、僵尸网络、网络钓鱼等。

企业安全公司Blue Coat System定期分析来自1万5千家企业和7500万用户的Web请求，跟踪互联网上的可疑活动。该公司在上个月发布了与恶意网站有所联系的十大顶级域名。

主流的顶级域名以前有在过去的几年中数量激增，从.com、.net和.org扩展出了更多种类。新兴的顶级域通常会吸引大量威胁源，因为使用它们进行注册的成本比起著名的顶级域名要低得多。

Blue Coat建议组织采取措施进行防护，比如屏蔽高风险顶级域名，或者在用户连接到托管在这些顶级域名上的网站时发出警告。Blue Coat还建议用户在不确定目标链接的具体地址时将光标移到超链接对象上，查看目标的具体地址。如果使用移动设备，可以通过点击并长按执行相同的操作。以下是十大最可疑的顶级域名：

1 .zip

这份名单的内容变化很快。.zip域名在Blue Coat于九月份发布报告时还高居榜首，但其排位之后大幅下滑。Blue Coat公司恶意软件研究小组负责人克里斯·拉尔森指出，让.zip高居榜首的原因在于它其实仅有一个活跃域nic.zip，ta是Google的预注册页面，会将用户中继到google.com下属的一个页面，其中介绍了他们新的顶级域名。

拉尔森说：“来自.zip的URL的确出现在了我们的流量日志中，根据公司的WebPulse系统记录，每天我们的客户都会发出10亿匿名访问Web的请求。如果你仔细研究，记录中的大多数都是文件名，而不是URL，但它们最终肯定是以某种方式作为URL出现在了某人的浏览器上，并且被判定成了可疑链接。”

大多数请求都是看上去很搞笑的URL，它们并不能解析，因此被标记为可疑。但拉尔森补充称很多客户雇佣的安全公司都发现.zip域名和Cryptowall、MiniDionis和CozyBear等恶意软件家族间存在联系。

2 .review

尽管.zip从第一的位置上跌落，顶级域名.review仍稳坐全网第二大可疑域名。拉尔森解释称这主要是由于它托管的诈骗网站。

“只要看一看域列表，你就会发现前15个都是诈骗网站，其中至少12个都与中国某保健品诈骗网站同属一个家族。.review可能并没有对驱逐坏人们作出任何努力。”

3 .country

顶级域名.country最近已经在Blue Coat公司的排名中获得了第一，但在报告9月份发布时它还位居第三。

“.country并不像是.click、.link和.rock这些顶级域名，为了弄清它究竟托管了多少恶意网站，我开始时查看了公司的日志。我发现所有近期注册的.country域名都是可疑的。因此如果你想在Web网关上完全屏蔽该域名，我不会怪你。如果有心情的话，你还可以屏蔽.click域名，尽管它并没有像.country这么糟糕。”

该顶级域名似乎已经完全成为了以有奖游戏/调查为名进行钓鱼的诈骗网站殖民地。拉尔森提示，Blue Coat没有直接发现任何与此网络相关的恶意软件，但有些它的配套广告网络与可疑软件存在密切联系。

4 .kim

.kim顶级域名在Blue Coat报告中排位第四。但拉尔森提示称.kim和.xyz(并不属于排名前十)的域名注册商都已经联系了Blue Coat公司，以消除他们顶级域名下的一些可疑活动。

“我们在最近的流量中发现了改变。他们做得更好了，这理应得到称赞。”

该顶级域名确实托管了一些合法的域，最著名的是韩国的某科技博客和土耳其的几家网站(Kim在土耳其语里是“谁”的意思)。但该域名与可疑软件和诈骗网站间存在联系，而且至少有一个域上托管了域名生成算法，该算法能够生成可被恶意软件利用的域名。因此，.kim理应榜上有名。

5 .cricket

.cricket取名自世界上第二大流行的运动：板球。该顶级域名被列为全网第五大可疑顶级域名。

拉尔森指出，尽管它也托管了一些合法网站，但其中存在大量搜索引擎毒化的实例。例如，StarWarsMovie.cricket从其它地方拉来了大量星球大战相关周边的图片，以获取流量，其中有些图片显然就是从其它地方盗取的。如果在页面上点击，将跳转到销售蓝光《星球大战第六部：绝地归来》的网站。

6 .science

第六大可疑顶级域名很大程度上成了其营销策略的牺牲品。为了提升顶级域名的名气，域名注册商曾免费开放.science域的注册。

“他们以低价倾销，基本可以肯定会遇上麻烦。如果花一块钱就能注册一个域名，坏人将蜂拥而至。”

拉尔森说，相比可疑软件和诈骗，.science域和sao’rao的关系最紧密。他指出，可疑活动包括一个大型电子书网站，它的下载页面曾存在可疑软件活动。另一个网站则销售定制的学术论文。

7 .work

顶级域名.work看上去和骚扰及诈骗离得更近，离恶意软件比较远。然而拉尔森的小组找到了一些指向可疑软件分发网络的尝试性链接。拉尔森指出，虽然存在一些合法网站，它仍旧值得屏蔽。举例而言，它托管了一家土耳其色情网站和巴基斯坦的一家视频剪辑网站，这两个网站极其相似。

8 .party

.party位列第八。这里的很多网站乍一看都是合法的。比如排名第一位的FashionOnly.party，页面上展示了女性婚纱礼服和休闲服装。

拉尔森说：“有一些小黄旗，这些图片都有点烂，所有都像是从原格式转换出来的。很多照片的背景中都有其他网站的水印。这是一个没有意义的网站。在评论中也没有任何内容”

这些都是搜索引擎毒化的标志。该顶级域名还托管了一大堆MP3网站，它们有可能是盗版或者恶意软件传播平台。另有一家网站托管了可疑的Tracker。

9 .gq

.gq是赤道几内亚的国家代码。Blue Coat的报告公布以来，.gq已经滑出前10位。但拉尔森指出，它在许多方面能够获得终身成就奖。

“如果翻看数据库中所有与.gq相关的评分，超过7500条的的评价中有99%是可疑的。”

Blue Coat报告中称，大多数对.gq的滥用都属于搜索引擎毒化，一大部分作为Cookie截取器的可疑视频都和恶意软件相关。它还托管了一些自称“震撼视频”的骚扰/诈骗网站，以及少量的其它恶意软件、钓鱼和色情网站。

10 .link

.link是Blue Coat名单的最后一位。该顶级域名充斥着色情内容分发网络和盗版网站，但这都不是Blue Coat标记为可疑的对象。有一家日本网站专门提供关于橄榄球的体育内容，另一家网站则转发美国一些广播电台的新闻内容。但在这些合法域之外还存在很多诈骗网站。

“根据历史来看，这是一个滋生骚扰网站的顶级域。”拉尔森说。

人名与术语

克里斯·拉尔森(Chris Larsen)

顶级域名(Top Level Domain，TLD)

域名生成算法(Domain Generation Algorithm，DGA)

搜索引擎毒化(Search Engine Poisoning)