הפצת תוכנות זדוניות באמצעות פרסום של תחום שלא ניתן להבחין בו מתחום הפרויקט KeePass

חוקרים מ-Malwarebytes Labs זיהו את הקידום של אתר מזויף עבור מנהל הסיסמאות החינמי KeePass, המפיץ תוכנות זדוניות, דרך רשת הפרסום של גוגל. ייחוד של המתקפה היה השימוש של התוקפים בדומיין "ķeepass.info", שבמבט ראשון לא ניתן להבחין באיות מהדומיין הרשמי של פרויקט "keepass.info". בחיפוש אחר מילת המפתח "keepass" בגוגל, הפרסומת לאתר המזויף הוצבה במקום הראשון, לפני הקישור לאתר הרשמי.

כדי להונות משתמשים, נעשה שימוש בטכניקת פישינג ידועה, המבוססת על רישום דומיינים בינלאומיים (IDN) המכילים הומגליפים - תווים שנראים דומים לאותיות לטיניות, אך בעלי משמעות שונה וקוד יוניקוד משלהם. במיוחד, הדומיין "ķeepass.info" רשום למעשה כ-"xn--eepass-vbb.info" בסימון punycode ואם תסתכל מקרוב על השם המוצג בשורת הכתובת, תוכל לראות נקודה מתחת לאות " ķ", אשר נתפס על ידי רוב המשתמשים הם כמו כתם על המסך. אשליית האותנטיות של האתר הפתוח הועצמה על ידי העובדה שהאתר המזויף נפתח באמצעות HTTPS עם תעודת TLS נכונה שהושגה עבור דומיין בינלאומי.

כדי לחסום שימוש לרעה, הרשמים אינם מאפשרים רישום של דומיינים של IDN המשלבים תווים מאלפביתים שונים. לדוגמה, לא ניתן ליצור דומיין דמה apple.com ("xn--pple-43d.com") על ידי החלפת ה-"a" הלטינית (U+0061) ב-"a" הקירילי (U+0430). גם ערבוב תווים לטיניים ו-Unicode בשם דומיין חסום, אך יש חריג להגבלה זו, מה שתוקפים מנצלים - ערבוב עם תווי Unicode השייכים לקבוצת תווים לטיניים השייכים לאותו אלפבית מותר ב- תְחוּם. לדוגמה, האות "ķ" ששימשה במתקפה הנחשבת היא חלק מהאלפבית הלטבי ומקובלת עבור תחומים בשפה הלטבית.

כדי לעקוף את המסננים של רשת הפרסום של גוגל ולסנן בוטים שיכולים לזהות תוכנות זדוניות, צוין אתר שכבתי ביניים keeppassstacking.site כקישור הראשי בבלוק הפרסום, שמפנה משתמשים העומדים בקריטריונים מסוימים לדומיין הדמה "ķeepass .info".

העיצוב של אתר הדמה היה מסוגנן כדי להידמות לאתר הרשמי של KeePass, אך שונה לדחיפה אגרסיבית יותר של הורדות תוכניות (ההכרה והסגנון של האתר הרשמי נשמרו). עמוד ההורדה של פלטפורמת Windows הציע מתקין msix המכיל קוד זדוני שהגיע עם חתימה דיגיטלית חוקית. אם הקובץ שהורד בוצע במערכת של המשתמש, הושק בנוסף סקריפט FakeBat, שהוריד רכיבים זדוניים משרת חיצוני כדי לתקוף את המערכת של המשתמש (לדוגמה, כדי ליירט נתונים סודיים, להתחבר לרשת בוט או להחליף מספרי ארנק קריפטו ב- הלוח).

מקור: OpenNet.ru