KeePass 프로젝트 도메인과 구별되지 않는 도메인 광고를 통한 악성코드 유포

Malwarebytes Labs의 연구원들은 Google 광고 네트워크를 통해 악성 코드를 배포하는 무료 비밀번호 관리자 KeePass의 가짜 웹사이트를 홍보하는 것을 확인했습니다. 공격의 특징은 공격자가 "ķeepass.info" 도메인을 사용했다는 점인데, 이 도메인은 언뜻 보면 "keepass.info" 프로젝트의 공식 도메인과 철자를 구별할 수 없습니다. 구글에서 'keepass'라는 키워드를 검색하면 공식 사이트 링크 앞에 가짜 사이트 광고가 먼저 떴다.

사용자를 속이기 위해 동형문자(라틴 문자와 유사해 보이지만 의미가 다르며 고유한 유니코드 코드를 갖는 문자)가 포함된 국제 도메인(IDN) 등록을 기반으로 하는 오랫동안 알려진 피싱 기술이 사용되었습니다. 특히 도메인 “ķeepass.info”는 실제로 퓨니코드 표기법으로 “xn--eepass-vbb.info”로 등록되어 있으며, 주소창에 표시된 이름을 자세히 보면 “문자 아래에 점이 있는 것을 볼 수 있습니다. ķ”는 대부분의 사용자가 인식하는 화면의 얼룩과 같습니다. 국제화된 도메인에 대해 획득한 올바른 TLS 인증서를 사용하여 가짜 사이트가 HTTPS를 통해 열렸다는 사실로 인해 공개 사이트의 신뢰성에 대한 환상이 더욱 강화되었습니다.

남용을 차단하기 위해 등록 기관은 서로 다른 알파벳의 문자가 혼합된 IDN 도메인의 등록을 허용하지 않습니다. 예를 들어, 더미 도메인 apple.com(“xn--pple-43d.com”)은 라틴어 “a”(U+0061)를 키릴 문자 “a”(U+0430)로 대체하여 생성할 수 없습니다. 도메인 이름에 라틴 문자와 유니코드 문자를 혼합하는 것도 차단되지만 이 제한에는 예외가 있습니다. 즉, 공격자가 이를 악용하는 것입니다. 동일한 알파벳에 속하는 라틴 문자 그룹에 속하는 유니코드 문자와의 혼합은 도메인 이름에서 허용됩니다. 도메인. 예를 들어, 고려 중인 공격에 사용된 문자 "ķ"는 라트비아어 알파벳의 일부이며 라트비아어 도메인에 허용됩니다.

Google 광고 네트워크의 필터를 우회하고 맬웨어를 탐지할 수 있는 봇을 필터링하기 위해 중간 중간 계층 사이트 keepassstacking.site가 광고 블록의 기본 링크로 지정되어 특정 기준을 충족하는 사용자를 더미 도메인 “ķeepass”로 리디렉션합니다. .정보”.

더미 사이트의 디자인은 KeePass 공식 웹사이트와 유사하도록 스타일화되었지만 프로그램 다운로드를 보다 적극적으로 푸시하도록 변경되었습니다(공식 웹사이트의 인식 및 스타일은 유지되었습니다). Windows 플랫폼용 다운로드 페이지에서는 유효한 디지털 서명과 함께 제공되는 악성 코드가 포함된 msix 설치 프로그램을 제공했습니다. 다운로드한 파일이 사용자 시스템에서 실행되면 FakeBat 스크립트가 추가로 실행되어 외부 서버에서 악성 구성요소를 다운로드하여 사용자 시스템을 공격합니다(예: 기밀 데이터 가로채기, 봇넷 연결, 암호화폐 지갑 번호 교체 등). 클립보드).

출처 : opennet.ru