Forscher von Soluble eine neue Methode zur Registrierung von Domains mit , die äußerlich anderen Domains ähneln, sich jedoch tatsächlich durch das Vorhandensein von Symbolen mit unterschiedlichen Bedeutungen unterscheiden. Solche internationalisierten Domains () können auf den ersten Blick von denen bekannter Unternehmen und Dienstleistungen nicht zu unterscheiden sein, was es ermöglicht, sie für Phishing zu verwenden, auch um gültige TLS-Zertifikate dafür zu erhalten.
Der klassische Missbrauch über einen ähnlich aussehenden IDN-Domain wird seit langem von Browsern und Registraren blockiert, dank des Verbots, Zeichen aus verschiedenen Alphabeten zu mischen. Beispielsweise kann die gefälschte Domain аpple.com („xn--pple-43d.com“) nicht erstellt werden, indem das lateinische „a“ (U+0061) durch das kyrillische „а“ (U+0430) ersetzt wird, da das Mischen von Buchstaben aus verschiedenen Alphabeten in einer Domain nicht zulässig ist. Im Jahr 2017 wurde ein Umgehungsmechanismus für einen solchen Schutz entdeckt, der die Verwendung von nur Unicode-Symbolen im Domainnamen ermöglichte, ohne Latine zu verwenden (zum Beispiel durch Verwendung von Zeichen einer Sprache, deren Symbole Ähnlichkeiten mit lateinischen Zeichen aufweisen).
Jetzt wurde eine weitere Methode zur Umgehung des Schutzes entdeckt, basierend darauf, dass Registrare die Mischung von lateinischen Buchstaben und Unicode blockieren. Wenn jedoch die im Domainnamen angegebenen Unicode-Zeichen zur Gruppe der lateinischen Zeichen gehören, wird eine solche Mischung erlaubt, da die Zeichen zu einem Alphabet gehören. Das Problem liegt darin, dass in der Erweiterung homoglyphen vorhanden sind, die in der Schreibweise anderen Zeichen des lateinischen Alphabets ähneln:
Das Zeichen „“ ähnelt „a“, „“ –„g“, „“ – „l“.
Die Möglichkeit, Domains zu registrieren, die lateinische Buchstaben mit angegebenen Unicode-Zeichen mischen, wurde beim Registrar Verisign festgestellt (andere Registrar wurden nicht überprüft), und Subdomains konnten in den Services von Amazon, Google, Wasabi und DigitalOcean erstellt werden. Das Problem wurde im November letzten Jahres gefunden, und trotz gesendeter Benachrichtigungen wurde es nach drei Monaten nur in letzter Minute bei Amazon und Verisign behoben.
Im Rahmen des Experiments gaben die Forscher 400 Dollar aus, um bei Verisign die folgenden Domains zu registrieren:
- amɑzon.com
- chɑse.com
- sɑlesforce.com
- ɡmɑil.com
- ɑppɩe.com
- ebɑy.com
- ɡstatic.com
- steɑmpowered.com
- theɡuardian.com
- theverɡe.com
- washinɡtonpost.com
- pɑypɑɩ.com
- wɑlmɑrt.com
- wɑsɑbisys.com
- yɑhoo.com
- cɩoudfɩare.com
- deɩɩ.com
- gmɑiɩ.com
- gooɡleapis.com
- huffinɡtonpost.com
- instaɡram.com
- microsoftonɩine.com
- ɑmɑzonɑws.com
- ɑndroid.com
- netfɩix.com
- nvidiɑ.com
- ɡoogɩe.com
Forscher haben auch zur Überprüfung ihrer Domains auf mögliche alternative Varianten mit Homographen gestartet, einschließlich der Überprüfung bereits registrierter Domains und TLS-Zertifikate mit ähnlichen Namen. In Bezug auf HTTPS-Zertifikate wurden über die Logs von Certificate Transparency 300 Domains mit Homographen überprüft, wovon für 15 die Erstellung von Zertifikaten dokumentiert wurde.
Aktuelle Browser wie Chrome und Firefox zeigen solche Domains in der Adresszeile in der Notation mit dem Präfix „xn--“ an, dennoch erscheinen die Domains in Links unverändert, was verwendet werden kann, um sie in die Seiten bösartiger Ressourcen oder Links einzufügen, die vorgibt, von legitimen Seiten zu stammen. Zum Beispiel wurde bei einer der entdeckten Domains mit Homographen die Verbreitung einer schädlichen Variante der jQuery-Bibliothek festgestellt.
Quelle: opennet.ru
