COBRA: framework detecta domínios suspeitos de phishing e fraude no momento do registro
Pesquisadores propuseram o COBRA, um sistema que classifica domínios como suspeitos assim que são registrados, analisando apenas padrões lexicais e estruturais do nome, sem depender de conteúdo (que ainda nem existe no domínio). Testado sobre 1,5 milhão de domínios reais, o framework atingiu 98,5% de precisão e identificou mais de 47 mil domínios suspeitos, detectando 80% deles antes de serviços de inteligência de ameaças amplamente usados no mercado.
O artigo apresenta o COBRA, um framework de detecção de domínios maliciosos que atua no momento exato do registro, antes que qualquer conteúdo seja publicado no site. Isso é uma mudança importante em relação à maioria das ferramentas de reputação de domínio existentes, que dependem de sinais como conteúdo da página, certificado, ou comportamento de tráfego — sinais que só existem depois que o domínio já está ativo e potencialmente já sendo usado em uma campanha de phishing ou fraude de pagamento.
Tecnicamente, o COBRA analisa apenas o nome do domínio recém-registrado e aplica uma técnica de clustering para agrupá-lo com outros domínios de similaridade lexical e estrutural — captando o padrão de registro em lote que operações de phishing e fraude costumam usar (variações sistemáticas de marca, combinações de palavras-chave financeiras, typosquatting em escala). Avaliado sobre uma base real de 1,5 milhão de domínios recém-criados, o sistema atingiu 98,5% de precisão e sinalizou mais de 47 mil domínios distintos como suspeitos.
O dado mais relevante do ponto de vista prático é a velocidade: o COBRA identificou 80% dos domínios suspeitos ou maliciosos antes que serviços de inteligência de ameaças amplamente usados no mercado os classificassem — um atraso que, segundo os autores, pode chegar a sete dias nesses serviços tradicionais. Como domínios recém-registrados são o vetor inicial de praticamente todo golpe de phishing, smishing e fraude de pagamento via link malicioso, cada dia de antecedência na detecção reduz diretamente a janela em que uma campanha consegue operar sem ser bloqueada.
Na prática, esse tipo de detecção 'dia zero' tem valor quando incorporado a listas de bloqueio de registradores de domínio, provedores de e-mail, navegadores e times antifraude de bancos e fintechs — permitindo bloquear proativamente o domínio antes que ele seja armado com uma página de phishing ou usado para distribuir malware financeiro, em vez de reagir depois que vítimas já foram atingidas.