Spammers kapen redirects van parkeerdomeinen

Beveiligingsbedrijf Symantec waarschuwt ervoor dat spammers in steeds grotere mate misbruik maken van parkeerdiensten voor domeinnamen die veel registrars bieden. De spammers doen dat om filters die kijken naar de domeinnaam waar iemand naar linkt te omzeilen.

Open redirect script

De parkeerdiensten die de spammers misbruiken, worden normaal ingezet als een domein geregistreerd is voor toekomstig gebruik maar nog geen content kent. Soms met flink wat advertenties om toch nog aan het domein te verdienen. Symantec ontdekte dat een grote aanbieder van die diensten nu op "enorme schaal misbruikt wordt door spammers".

"Ieder domein dat via die dienst gehost is, bevat een open redirect script. Daardoor is het voor spammers mogelijk om via dat domein automatisch door te verwijzen naar een URL van hun keuze", legt ontwikkelaar Nick Johnston van Symantec uit in een blogpost. Om welke domeinaanbieder het gaat, vermeldt het beveiligingsbedrijf niet.

Legitiem domein op zwarte lijst

Johnston zegt dat eigenaars van de misbruikte domeinen niet zoveel van het misbruik zullen merken. De doorverwijzingen hebben namelijk geen effect op de parkeerpagina en dat is het enige waar zo'n domein voor gebruikt wordt. De beveiligingsexpert stelt dat domeineigenaren het dus ook niet zullen merken als hun domeinnaam zelf uiteindelijk ook op een zwarte lijst van spamfilters komt te staan.

Omdat veel van de geparkeerde domein die misbruikt worden al jaren geregistreerd zijn en nooit gebruikt werden voor malafide doeleinden, hebben ze nu vaak nog een goede reputatie in moderne antispamsoftware. Dat is direct ook de reden dat spammers ze misbruiken. Het kan dus wel langere tijd duren voordat de misbruikte domeinen echt op een zwarte lijst komen.

Tiendubbele url-verkorter

Spammers worden sowieso creatiever om filters die naar een url kijken te omzeilen. Zo bleek eerder deze week al uit onderzoek van Symantec, dat veel spammers op sociale netwerken als Twitter tegenwoordig getrapt gebruik maken van linkkrimpers: Ze korten de lange url in met een zelfgemaakte verkorter, de link van die verkorter gaat vervolgens door een of meer bonafide diensten als Bit.ly.

Door de legitieme url-verkorter lijkt de link betrouwbaar te zijn. Bovendien is niet te zien wat de volledige link van de spammer is. Diensten die verkorte url's uitpakken doen dat immers alleen met bekende diensten. Bit.ly waarschuwt gebruikers overigens als een url doorverwijst naar een ander kort adres, maar de meeste andere url-verkorters doen dat niet.