Smyglansering: Domänrisk – från erfarenhet till verktyg

Flera signaler tillsammans kan vara början på en berättelse..

Efter alla år som abuseansvarig för domännamnsregistret för .se och .nu vill jag påstå att jag har fått en ganska god känsla för mönster.

Inte för att varje enskild signal säger särskilt mycket i sig. Tvärtom. En nyregistrerad domän kan vara helt oskyldig. En ändrad namnserver kan vara en teknisk rutinåtgärd. En domän som försvinner ur zonen kan bero på glömd förnyelse, avveckling eller ett helt normalt affärsbeslut.

Men när flera sådana signaler läggs ovanpå varandra kan bilden förändras.

En domän som liknar ett företagsnamn. En namnserver som återkommer i flera tveksamma sammanhang. En grupp domäner som aktiveras samtidigt. En tidigare inaktiv domän som plötsligt återkommer. Ett kluster av namn som ligger nära myndigheter, banker, e-handlare, varumärken eller samhällsfunktioner. En domän som är på väg att frisläppas och därför kan bli intressant för någon annan än den ursprungliga innehavaren.

Var för sig kan det vara oskyldigt. Tillsammans kan det tala för något annat.

Det är den förståelsen som ligger bakom idén/visionen av Domänrisk som är att beteckna som STEG 3 av Varningskollen.se.

Erfarenheten bakom

Under mer än tio år har jag utbildat och föreläst för tusentals myndighetsanställda inom OSINT, internetrelaterad brottslighet, bedrägerier, domänmissbruk och digitala spår. Jag har bistått rättsväsendet i förundersökningar, hjälpt grävande redaktioner i både mindre och större granskningar och medverkat i ärenden som rört varumärkesintrång, bluffakturor, nätbedrägerier och teknisk infrastruktur bakom olika former av missbruk.

Jag har föreläst för specialåklagare, arbetat nära brottsbekämpande funktioner och haft många samtal med personer som sitter med svåra ärenden men saknar rätt verktyg för att snabbt förstå vad som hänger ihop.

Sedan några år tillbaka arbetar jag dessutom inom bank- och finanssektorn, där jag dagligen ser en annan sida av samma problem: bedrägerier, social manipulation, falska avsändare, kapade identiteter, vilseledande kommunikation och digital infrastruktur som ofta är uppbyggd för att lura människor, företag eller organisationer.

Alla dessa lager ovanpå varandra har gett mig en ganska speciell bild av vad som ofta saknas.

Och jag menar att det inte bara handlar om tillgång mer data. Det handlar framförallt om att se och förstå sambanden datat berättar/indikerar.

Många företag, myndigheter, kommuner, föreningar, banker, e-handlare, varumärkesägare, säkerhetsansvariga, journalister, analytiker och utredare behöver kunna ställa ganska enkla frågor:

– Har någon registrerat eller aktiverat domäner som liknar vårt namn?
– Finns det nya domäner som skulle kunna användas för imitation, phishing, fakturabedrägerier, kreditbedrägerier eller annan vilseledande kommunikation?
– Har en tidigare nedstängd problematisk domän plötsligt återkommit?
– Finns det namnserverkluster som binder samman flera problematiska domäner?
– Vilka domäner är på väg att frisläppas?
– Finns det tekniska spår, historik eller externa observationer som bör säkras?

Och kanske viktigast: hur går man från en första indikation till ett rimligt underlag för fortsatt kontroll?

Peter: – Det är ofta små små detaljer eller indikationer, som leder vidare till omfattande kartläggning och större förståelse för modus, omfattning och problembild.

Det är lätt att säga att någon borde “kolla upp det”.
Men var börjar man? Vilka källor ska man använda? Vad är en stark signal och vad är bara brus? Vad bör sparas? Vad behöver dokumenteras?

Det är sådant jag länge har försökt förklara i föreläsningar, utbildningar och enskilda ärenden.
För jag har aldrig varit någon som berättar “hur det borde vara”, utan att själv visa hur man gör det-

Så till slut blev frågan: går det att paketera delar av den kunskapen i ett enda verktyg, och hur får jag till det?

Från idé till Domänrisk

Jag har haft den här idén länge – i många år.

Ett verktyg där domännamn, zonförändringar, namnservrar, frisläpp, tekniska samband och OSINT-kontroller kan visas på ett sätt som gör att användaren snabbt ser vad som är värt att titta närmare på.

– Inte ett verktyg som automatiskt pekar ut brott.
– Inte ett verktyg som ersätter mänsklig bedömning.
– Utan ett analysstöd.

Problemet har varit att jag varken haft utvecklingsteam, kapital eller investerare bakom mig. Jag är i grunden en praktiker med idéer, erfarenhet och ganska tydliga bilder av vad som behövs – men inte ett bolag med en stor produktorganisation.

Så jag gjorde det jag kunde: Jag investerade min tid.

Domänrisk.se och Domanrisk.se pekar i dag vidare till domanrisk.varningskollen.se. Tjänsten ligger under Varningskollen, som har frivilligt utgivningsbevis.

Vad Domänrisk gör

Domänrisk är byggt för att följa och analysera domänrelaterade observationer i .se- och .nu-miljön (som kallas zoner; .se-zonen och .nu-zonen). Alltså alla .se- och .nu-domäner som finns registrerade.

I grunden handlar det om att göra tekniska förändringar begripliga: nya domäner, domäner som inte längre är aktiva i zonen, återkomna domäner, namnservermönster, kommande frisläpp, möjliga typo- och lookalike-varianter, bolags- och varumärkesimitation, lokala bevakningsord, OSINT-kontroller och underlag för fortsatt dokumentation.

Domänrisk är alltså inte tänkt som en publik svart lista. Det är inte heller en tjänst som säger att en domän är brottslig. Det är ett verktyg för att upptäcka, förstå och dokumentera signaler.

Startpunkten är Domänytan. Där visas timvisa förändringar i zondata. Användaren kan snabbt se när nya domäner tillkommit, när domäner blivit inaktiva och när domäner återkommit. Volym och timing säger ofta något. Enstaka domäner är inte alltid intressanta, men ett större släpp, ett kluster eller en ovanlig rörelse vid en viss tidpunkt kan vara värt att granska.

När användaren klickar på en domän öppnas ett domänkort. Där samlas grundläggande observationer: status i zonen, tidpunkt, zon, namnservrar, riskindikatorer och möjliga kopplingar till frisläpp, återkomst eller tekniska mönster. Poängen är att användaren inte ska behöva börja med tio olika verktyg. Domänrisk ska först ge en begriplig sammanställning och sedan peka vidare till relevanta kontrollsteg.

En domän är sällan ensam. Därför finns även en vy för namnservrar och infrastruktur. Där går det att se operatörsdomäner, namnservervarianter och domäner som delar teknisk miljö. En enskild domän kan se ointressant ut, men om samma infrastruktur återkommer i flera observationer kan det vara relevant för journalister, analytiker, utredare, varumärkesägare och säkerhetsansvariga. Den aktuella registraren kanske är frekvent använd för tidigare bekräftade “problemdomäner”

Domänrisk visar också kommande frisläpp. En domän som inte längre förnyas kan efter en tid bli möjlig för andra att registrera. Ibland är det odramatiskt. I andra fall kan det handla om domäner med tidigare användning, gamla kampanjer, tidigare e-postmiljöer, varumärkesvärde eller kvarvarande länkar och sökträffar. Därför kan frisläpp vara relevant både för skydd, analys och omvärldsbevakning.

Skyddskontrollen hjälper sedan användaren att skapa och kontrollera närliggande domänvarianter: saknade bokstäver, dubblerade bokstäver, omkastade tecken, typo-varianter, lookalike-varianter, bindestreck, bolagsliknande ändelser och www-varianter där punkten saknas. Syftet är inte att säga att allt bör registreras, utan att visa vilka varianter som kan vara värda att bedöma (och/eller bevaka).

Lokala bevakningar och kontrollpaket

En viktig princip i Domänrisk är att användaren ska kunna arbeta utan konto.

Jag vill inte veta vem som använder tjänsten eller vilka ord någon bevakar.

Därför finns lokal bevakning. Användaren kan lägga in egna bevakningsord, domännamn eller namnservrar. De sparas i den egna webbläsaren (local storage), inte på Domänrisk-servern. När användaren rör sig i tjänsten markeras synliga träffar lokalt – bara för dig!.

Det gör att en kommun kan bevaka sitt namn, en journalist kan bevaka ett tema, en säkerhetsansvarig kan följa ett varumärke och en analytiker kan arbeta med egna indikatorer – utan att Domänrisk skapar en central lista över användarnas intressen.

Domänrisk innehåller också kontrollpaket: färdiga länkar till externa kontroller för en domän. Det kan vara Internetstiftelsens domänkontroll, Google, Web Archive, URLscan, VirusTotal, Certificate Transparency, MXToolbox, SecurityTrails, DNSlytics, Censys och Shodan.

En särskilt användbar kontroll är sökning efter indexerade subdomäner, till exempel:

site:*.polisen.se -www.polisen.se

Det kan snabbt visa om Google har indexerat subdomäner under en huvuddomän, samtidigt som den vanliga www-webben filtreras bort.

Kontrollpaketen gör inte jobbet åt användaren, men de minskar tröskeln. De hjälper användaren att komma till rätt källor i rätt ordning.
(Som jag ofta sagt i mina föreläsningar, “så vill jag lära fiskaren att fiska!”)

Dokumentation och underlag

Domänrisk innehåller stöd för att spara vyer som PNG med tidsstämpel. Det är viktigt eftersom tekniska observationer kan förändras. Domäner kan bli aktiva, försvinna, flyttas, få nya namnservrar eller ändra innehåll. Därför behöver användaren kunna dokumentera vad som syntes vid en viss tidpunkt.

Det finns också ett embryo till ärendeunderlag och Word-mall, där användaren kan komplettera Domänrisk-observationer med egen misstanke, beskrivning, skärmdumpar, externa kontroller och bilagor.

Tanken är att det på sikt ska kunna hjälpa användare att skapa bättre underlag till exempelvis polisanmälan, intern incidentrapport, kontakt med registrar, kontakt med rättighetsinnehavare, tips till myndighet, redaktionell research eller varumärkesärende osv.

Det viktiga är att skilja på indikator och slutsats. Domänrisk visar tekniska och metodiska observationer.
Användaren måste fortfarande bedöma, verifiera och dokumentera.

Vem kan ha nytta av Domänrisk?

Domänrisk är byggt med flera typer av användare i åtanke.

– Företag och varumärkesinnehavare kan använda verktyget för att bevaka namn, varianter och närliggande domäner. Det kan handla om att upptäcka imitationer, phishing, bluffakturor, falska kundtjänster eller vilseledande annonsering.

– Kommuner och myndigheter kan bevaka egna namn, tjänster, projekt och domäner samt följa frisläpp eller domäner som liknar officiella namn.

– Banker och finansiella aktörer är ofta mål för imitation, phishing och social manipulation. För dem kan Domänrisk fungera som ett tidigt analysstöd.

– E-handlare kan följa domäner som liknar butikens namn, kampanjer eller varumärken, särskilt inför perioder då bedragare försöker utnyttja höga kundflöden, eller kontollera risk/trovärdighet i olika typer av kundbeställningar.

– Föreningar och ideella organisationer kan använda Domänrisk för att upptäcka närliggande domäner utan att behöva ha en egen säkerhetsavdelning.

– Journalister och grävande redaktioner kan använda verktyget för att hitta tekniska samband, följa domänrörelser och identifiera kluster som kan vara värda vidare granskning.

– Analytiker, utredare och säkerhetsansvariga kan använda Domänrisk som en startpunkt för att snabbt komma från domännamn till tekniska observationer, kontrollsteg, externa källor och dokumentationsunderlag.

Vad Domänrisk inte är

Domänrisk är inte en domstol.
Det är inte en brottsdatabas.
Det är inte en lista över onda domäner.
Det är inte heller ett verktyg som automatiskt avgör om någon har gjort fel.

Domänrisk är ett analys- och granskningsstöd. Det hjälper användaren att se signaler, hitta kontrollvägar och skapa bättre underlag.
Det är en viktig skillnad.

Ett praktiskt försök att sänka tröskeln

Det finns mycket kunskap om domänmissbruk, OSINT, bedrägerier, varumärkesintrång och teknisk infrastruktur. Men den kunskapen är ofta/alltid utspridd mellan olika yrkesgrupper, verktyg, myndigheter, bolag och enskilda experter.

Min ambition med Domänrisk är att samla en del av den praktiska metodiken i en tjänst som fler kan använda.
Inte för att ersätta experter – utan för att hjälpa fler att börja i rätt ände.

Om en användare efter några sekunder kan se att “det här bör jag kontrollera vidare”, då har tjänsten redan gjort nytta.

Det här är fortfarande ett pågående bygge.
Men det är också ett försök att göra många års praktisk erfarenhet mer tillgänglig för fler.

Och det började med en ganska enkel insikt:

En signal är ofta bara en signal.
Men flera signaler tillsammans kan vara början på en berättelse.

Fri att använda: https://domänrisk.se/

Peter: – Rätt använt, så kan det bli brottsprevention – på riktigt!

Not. för den intresserade:
För att inte belasta system i onödan sker hämtning av zondata från Internetstiftelsen ungefär vid XX:10–20 varje timme. Därefter jämförs aktuell zonfil mot föregående lokala zonfil, och förändringar importeras normalt omkring XX:25–35. Databasuppdatering och timvis cache av standardvyer sker därefter omkring XX:40–50. Tiderna är ungefärliga och kan variera något mellan körningar.