恶意域名是钓鱼、恶意软件分发、身份冒充与欺诈交易的核心基础设施。域名注册成本低、易于大规模部署，使其成为跨行业网络犯罪中最常用、破坏性最强的工具之一。传统检测方案大多依赖域名解析后的网页内容、HTTP 响应或被动 DNS 记录等特征，只能在域名已经「上线」之后才做判断，从而留下数天量级的暴露窗口。本文提出 COBRA：一个与内容无关（content-agnostic）、在注册时刻（registration-time）即可工作的检测框架，目标是在域名被填充任何内容之前完成可疑性判定。COBRA 不使用任何基于内容的特征，而是直接分析新注册域名的名称字符串，采用聚类技术依据词法（lexical）与结构（structural）相似性对域名分组，把同一批量注册活动产生的域名聚合为簇，以簇为单位进行异常判定，从而在降低单域名误报的同时提升召回。作者使用包含 150 万个新创建域名的真实数据进行评估，结果显示 COBRA 检测可疑域名的精确率达到 98.5%，共识别出超过 4.7 万个不同的新注册可疑域名；此外，域名名称聚类带来的早期检测能力，使其对约 80% 的可疑或恶意域名能够比一款被广泛使用的威胁情报服务更早发现，而后者在某些情况下需要长达 7 天才能完成标注。该工作表明，在零日（day-zero）阶段仅凭域名名称的结构信息即可获得高精度检测信号，对威胁情报生产、域名信誉评分与主动防御具有实际价值。适合威胁情报、DNS 安全、SOC 检测工程与域名信誉方向的研究者和工程师阅读。