Кратко

  • В недельной выборке gTLD за 2025 год совокупные методы OCTO-044 связали 56,4% доменов-затравок из репутационных списков как минимум ещё с одним доменом. Это охват внутри данной выборки, а не доля всех доменов и не доказательство общего владельца.
  • Исследование использовало общедоступные технические данные регистрации и DNS. ICANN сообщает, что не смогла проверить кластеры по достоверным сведениям о владельцах учётных записей; для оценки с сохранением приватности потребуется дальнейшее сотрудничество с регистраторами.

6 октября ICANN объявила о публикации нового доклада Управления главного технического директора Associated Domain Analysis Using Public Data (OCTO-044). Наиболее заметная цифра — 56,4%: за исследуемую неделю совокупные методы отнесли такую долю доменов-затравок из репутационных блок-листов к связанным хотя бы с одним соседним доменом.

Цифра отвечает на узкий вопрос. Затравками были gTLD-домены, связанные с фишингом, вредоносными программами или инфраструктурой управления ботнетами, впервые добавленные в несколько списков с 24 по 30 сентября 2025 года. На момент отметки их возраст не превышал шести месяцев; в выборку ежедневно попадало около четырёх тысяч недавно зарегистрированных имён. Это не доля злоупотреблений среди всех новых доменов и не текущий срез всего рынка.

OCTO-044 опирается на наблюдаемые технические признаки: регистратора, авторитетные серверы имён, время создания и, в одном из методов, общие данные разрешения IPv4. Домены, зарегистрированные с разницей в секунды или часы, а также использующие общую инфраструктуру, объединяются в группы; затем кандидаты фильтруются по сходству строк. Методы перекрываются, поэтому их отдельные показатели охвата — около 16% для пакетной регистрации, 33% для массовой регистрации и 18% для массового разрешения — нельзя складывать.

Главное — точно понимать слово «связанный». Здесь это предполагаемое по техническим признакам отношение; оно не устанавливает, кто владеет именем, кто им управляет и зачем оно было зарегистрировано. ICANN отмечает, что массовая регистрация может иметь законные цели: защитная регистрация бренда, рекламные сети или распределение трафика. Общая инфраструктура способна давать ложные совпадения, а строгий фильтр сходства — пропускать реальные связи.

Исследование не сопоставляло группы с эталонной базой, подтверждающей владельцев учётных записей. По словам авторов, ICANN не видит персональные данные регистрантов, которые обычно хранят регистраторы и некоторые реестры; для полноценной проверки с сохранением приватности необходимо продолжать сотрудничество с сообществом регистраторов. Это незавершённый этап валидации, а не доказательство ошибочности метода. Но поэтому исследовательскую зацепку нельзя выдавать за установление владельца.

Оценки скорости требуют такой же осторожности. При предусмотренных исследованием задержках сбора и ежедневной обработки ассоциативный анализ обнаружил до внесения в репутационный список 4,6% всей выборки. В гипотетическом сценарии с обработкой за 30 минут расчётная доля достигает 10,0%. Это моделирование, а не наблюдавшийся результат: OCTO-044 указывает, что регистрационные сведения могут поступать с задержкой в несколько дней, а некоторые данные обновляются раз в неделю.

ICANN планирует продолжить проверку результатов, уменьшать задержки обработки и передавать выводы заинтересованным сторонам. Эти шаги покажут, полезен ли метод за пределами ретроспективной исходной оценки. Пока доклад позволяет сделать более узкий вывод: общедоступные данные помогают находить группы для дальнейшего изучения в большом масштабе, но не доказывают общего владельца, злонамеренную цель каждого кластера или достаточное основание для приостановки домена.

Источники: