网络钓鱼活动的生命周期

到目前为止，每份指南都聚焦于问题的一个片段：读取邮件头、识别托管商、撰写有效的举报。这份指南则退后一步，展示整个活动，从创建到结束，通常紧接着又在别处重新开始。这是一张地图：它把每份指南放在旅程中的正确位置。

阶段一 — 构建基础设施

在任何受害者看到任何东西之前，必须先完成四个环节：

• 域名注册：从任意注册商处购买一个名称，有时特意选择与知名品牌极为相似，利用模仿拉丁字母的字符（参见Punycode 与同形异义域名）。
• DNS 配置：域名在短短几分钟内被指向未来的服务器。
• 托管：花几欧元租用一台服务器，或劫持一个已被入侵的合法网站；有时会在前面加上 CDN 以隐藏真实地址（参见注册商、托管商和 CDN 之间谁控制什么）。
• 发布仿冒网站：一个或多或少逼真的登录页面副本被部署到该服务器上。

阶段二 — 发起攻击

基础设施准备就绪后，活动便可以开始：

• 发送邮件：消息被大规模投放，通常来自同一台租用服务器或被劫持的邮箱（参见诈骗者如何发送邮件）。
• 收集数据：每个在仿冒网站上输入凭证的受害者，都会实时将其直接传送给诈骗者。

阶段三 — 反制

这是最漫长的阶段，也是每个相关方都能对后续产生影响的阶段：

• 检测：受害者察觉到骗局，技术过滤器发现异常，或研究人员偶然发现该活动（参见研究人员与攻击者之间的猫鼠游戏）。
• 举报：正确的要素（URL、IP、邮件头、时间戳）被收集起来并发送给正确的一方（参见一份可操作举报的构成），前提是先找到其 abuse@ 地址（参见寻找托管商的 abuse@ 地址）。
• 暂停：注册商停用域名，托管商关闭机器——每一方都只作用于自己的环节，只有当两者都发生时活动才真正停止。
• 基础设施更换：如果该活动有利可图，往往不会就此止步。一个新域名，有时在另一个注册商处，会从第①步重新启动整个周期。

正是这最后一步解释了为什么举报很少能一劳永逸：暂停一个域名结束的是这一次具体的活动，而不一定是其背后的组织。这也是为什么在首次关闭后仍需保持警惕的原因。

Baitback 正是在这张地图的第⑧步介入：从一封邮件或一个链接出发，工具重建前面的步骤（域名、IP、托管商），以准备触发暂停的举报。