Възможност за регистрация на фишинг домейни с подобни unicode символи в името

Изследователи от компанията Soluble оцениха нов метод за регистрация на домейни с омоглифи, външно приличащи на други домейни, но всъщност отличаващи се поради наличието на символи с различно значение. Подобни интернационализирани домейни (IDN) може на пръв поглед да не се различават от домейните на известни компании и услуги, което позволява да се използват за фишинг, включително получавайки за тях коректни TLS сертификати.

Класическото подменяне чрез външно сходен IDN домейн отдавна се блокира в браузърите и от регистраторите, благодарение на забраната за смесване на символи от различни азбуки. Например, домейнът аpple.com („xn--pple-43d.com“) не може да бъде създаден чрез заменяне на латинската „a“ (U+0061) с кирилската „а“ (U+0430), тъй като смесването на букви от различни азбуки в домейна не се допуска. През 2017 година беше намерен открит метод за заобикаляне на подобна защита чрез използване в домейна само на Unicode символи, без използване на латиница (например, чрез символи на езиците с подобни на латиницата символи).

Сега е открит още един метод за заобикаляне на защитата, основан на това, че регистраторите блокират смесването на латиница и Unicode, но ако посочените в домейна Unicode символи принадлежат към групата на латински символи, такова смесване е разрешено, тъй като символите принадлежат към една и съща азбука. Проблемът е, че в разширението Unicode Latin IPA има омоглифи, наподобяващи други символи от латинската азбука:
символът „ɑ“ напомня на „a“, „ɡ“ — „g“, „ɩ“ — „l“.

Възможността за регистрация на домейни, в които латиница се смесва с посочените Unicode символи, беше установена при регистратора Verisign (други регистратори не бяха проверявани), а поддомейни успяха да бъдат създадени в услугите на Amazon, Google, Wasabi и DigitalOcean. Проблемът беше открит през ноември миналата година и, въпреки изпратените уведомления, след три месеца в последния момент беше отстранен само в Amazon и Verisign.

В хода на експеримента изследователите похарчиха 400 долара, за да регистрират в Verisign следните домейни:

• amɑzon.com
• chɑse.com
• sɑlesforce.com
• ɡmɑil.com
• ɑppɩe.com
• ebɑy.com
• ɡstatic.com
• steɑmpowered.com
• theɡuardian.com
• theverɡe.com
• washinɡtonpost.com
• pɑypɑɩ.com
• wɑlmɑrt.com
• wɑsɑbisys.com
• yɑhoo.com
• cɩoudfɩare.com
• deɩɩ.com
• gmɑiɩ.com
• gooɡleapis.com
• huffinɡtonpost.com
• instaɡram.com
• microsoftonɩine.com
• ɑmɑzonɑws.com
• ɑndroid.com
• netfɩix.com
• nvidiɑ.com
• ɡoogɩe.com

Изследователите също стартираха онлайн услуга за проверка на алтернативни варианти на собствените домейни с омоглифи, включително и проверка на вече регистрирани домейни и TLS сертификати с подобни имена. По отношение на HTTPS сертификатите, чрез логовете на Certificate Transparency бяха проверени 300 домейна с омоглифи, от които за 15 беше установена генерация на сертификати.

Актуалните браузъри Chrome и Firefox показват подобни домейни в адресната лента в нотация с префикс „xn--“, въпреки това в линковете домейните изглеждат без преобразуване, което може да се използва за вграждане в страници на злонамолен софтуер или линкове, под прикритието на легитимни сайтове. Например, на един от установените домейни с омоглифи беше регистрирано разпространение на злонамолна версия на библиотеката jQuery.

Източник: opennet.ru