Възможност за регистрация на фишингови домейни с подобни unicode символи в името

Изследователите от компанията Soluble установиха нов метод за регистрация на домейни с омоглифи, които визуално изглеждат като други домейни, но всъщност се различават поради наличието на символи с различно значение. Такива интернационализирани домейни (IDN) на пръв поглед могат да не се различават от домейните на известни компании и услуги, което позволява да се използват за фишинг, включително получавайки коректни TLS сертификати.

Класическото подмяна с визуално подобен IDN домейн отдавна е блокирано от браузъри и регистратори, благодарение на забраната за смесване на символи от различни азбуки. Например, подмененият домейн аpple.com («xn--pple-43d.com») не може да бъде създаден, като се замени латинската «a» (U+0061) с кирилската «а» (U+0430), тъй като смесването на букви от различни азбуки в домейн не се допуска. През 2017 г. беше открит открито заобикаляне на тази защита чрез използване само на unicode символи в домейна, без използване на латиница (например, с помощта на символи от език с подобни на латиница символи).

Сега е намерен още един метод за заобикаляне на защитата, основан на това, че регистраторите блокират смесването на латиница и Unicode, но ако указваните в домейна Unicode символи принадлежат към групата на латинските символи, такова смесване е допустимо, тъй като символите принадлежат към една и съща азбука. Проблемът е, че в разширението Unicode Latin IPA има омоглифи, които визуално приличат на други символи от латинската азбука:
символът «ɑ» прилича на «a», «ɡ» — «g», «ɩ» — «l».

Възможността за регистрация на домейни, в които латиницата се смесва с указани Unicode символи, е установена при регистратор Verisign (други регистратори не бяха проверявани), а поддомейни успяха да бъдат създадени в услугите на Amazon, Google, Wasabi и DigitalOcean. Проблемът беше установен през ноември миналата година и, въпреки изпратените уведомления, три месеца по-късно беше отстранен едва в Amazon и Verisign.

По време на експеримента изследователите похарчиха 400 долара за регистрация на следните домейни в Verisign:

• amɑzon.com
• chɑse.com
• sɑlesforce.com
• ɡmɑil.com
• ɑppɩe.com
• ebɑy.com
• ɡstatic.com
• steɑmpowered.com
• theɡuardian.com
• theverɡe.com
• washinɡtonpost.com
• pɑypɑɩ.com
• wɑlmɑrt.com
• wɑsɑbisys.com
• yɑhoo.com
• cɩoudfɩare.com
• deɩɩ.com
• gmɑiɩ.com
• gooɡleapis.com
• huffinɡtonpost.com
• instaɡram.com
• microsoftonɩine.com
• ɑmɑzonɑws.com
• ɑndroid.com
• netfɩix.com
• nvidiɑ.com
• ɡoogɩe.com

Изследователите също така стартираха онлайн услуга за проверка на алтернативни варианти на своите домейни с омоглифи, включително и проверка на вече регистрирани домейни и TLS сертификати с подобни имена. Що се отнася до HTTPS сертификатите, чрез логовете на Certificate Transparency бяха проверени 300 домейна с омоглифи, от които за 15 бяха регистрирани сертификати.

Актуалните браузъри Chrome и Firefox показват такива домейни в адресната лента в нотация с префикс «xn--«, но в линковете домейните изглеждат без преобразуване, което може да се използва за вмъкване на страници с вредоносни ресурси или линкове, маскирани като легитимни сайтове. Например, на един от откритите домейни с омоглифи беше регистрирано разпространение на вредоносен вариант на библиотеката jQuery.

Източник: opennet.ru