이름에 유사한 유니코드 문자가 포함된 피싱 도메인을 등록하는 기능

솔루블 연구진 노출된 도메인을 등록하는 새로운 방법 동형문자, 겉모습은 다른 도메인과 비슷하지만, 다른 의미를 지닌 문자가 존재하기 때문에 실제로는 다릅니다. 유사한 국제화 도메인(IDN)은 얼핏 보면 잘 알려진 회사 및 서비스의 도메인과 다르지 않을 수 있으므로 올바른 TLS 인증서 획득을 포함하여 피싱에 사용될 수 있습니다.

겉보기에 유사해 보이는 IDN 도메인을 통한 전형적인 대체는 다른 알파벳의 문자 혼합 금지로 인해 브라우저와 등록 기관에서 오랫동안 차단되었습니다. 예를 들어, 더미 도메인 apple.com(“xn--pple-43d.com”)은 라틴어 “a”(U+0061)를 키릴 문자 “a”(U+0430)로 대체하여 생성할 수 없습니다. 도메인의 문자는 다른 알파벳의 혼합이 허용되지 않습니다. 2017년에는 녹이다 라틴 알파벳을 사용하지 않고 도메인에서 유니코드 문자만 사용하여 이러한 보호를 우회하는 방법입니다(예: 라틴어와 유사한 문자가 포함된 언어 기호 사용).

이제 등록 기관이 라틴어와 유니코드 혼합을 차단한다는 사실을 기반으로 보호를 우회하는 또 다른 방법이 발견되었습니다. 그러나 도메인에 지정된 유니코드 문자가 라틴 문자 그룹에 속하는 경우 이러한 혼합은 허용됩니다. 같은 알파벳. 문제는 확장 프로그램에서 유니 코드 라틴어 IPA 라틴 알파벳의 다른 문자와 유사한 동형문자가 있습니다.
기호 "ɑ"는 "a"와 비슷합니다, "ɡ" - "g", "ɩ" - "엘".

라틴 알파벳과 특정 유니코드 문자가 혼합된 도메인 등록 가능성은 등록 기관 Verisign에 의해 확인되었으며(다른 등록 기관은 테스트되지 않음) Amazon, Google, Wasabi 및 DigitalOcean 서비스에서 하위 도메인이 생성되었습니다. 이 문제는 작년 XNUMX월에 발견되었으며, 알림을 보냈음에도 불구하고 XNUMX개월 후 Amazon과 Verisign에서만 마지막 순간에 수정되었습니다.

실험 동안 연구원들은 Verisign에 다음 도메인을 등록하기 위해 400달러를 지출했습니다.

• amɑzon.com
• chɑse.com
• sɑlesforce.com
• ɡmɑil.com
• ɑppɩe.com
• ebɑy.com
• ɡstatic.com
• steɑmpowered.com
• theɡguardian.com
• verɡe.com
• washingtonpost.com
• pɑypɑɩ.com
• wɑlmɑrt.com
• wɑsɑbisys.com
• yɑhoo.com
• cɩoudfɩare.com
• deɩɩ.com
• gmɑiɩ.com
• www.gooɡleapis.com
• huffinɡtonpost.com
• instaram.com
• microsoftonine.com
• ɑmɑzonɑws.com
• ɑdroid.com
• netfix.com
• nvidiɑ.com
• ɡoogɩe.com

연구진은 또한 출시 온라인 서비스 이미 등록된 도메인과 유사한 이름을 가진 TLS 인증서를 확인하는 것을 포함하여 동형문자로 가능한 대안이 있는지 도메인을 확인합니다. HTTPS 인증서의 경우 인증서 투명성 로그를 통해 동형문자가 포함된 도메인 300개를 확인했으며, 이 중 인증서 생성 내역이 15개 기록됐다.

현재 Chrome 및 Firefox 브라우저는 접두사 "xn--"을 사용하여 주소 표시줄에 해당 도메인을 표시합니다. 그러나 링크에서 도메인은 변환 없이 표시됩니다. 이는 악성 리소스나 페이지에 링크를 가장하여 삽입하는 데 사용될 수 있습니다. 합법적인 사이트에서 다운로드하는 것입니다. 예를 들어, 동형문자가 있는 식별된 도메인 중 하나에서 jQuery 라이브러리의 악성 버전 배포가 기록되었습니다.

출처 : opennet.ru