Pesquisadores da empresa Soluble um novo método de registro de domínios com , que parecem semelhantes a outros domínios, mas diferem na presença de símbolos com significados diferentes. Esses domínios internacionalizados () podem à primeira vista não se distinguir de domínios de empresas e serviços conhecidos, permitindo seu uso para phishing, inclusive obtendo certificados TLS válidos.
A clássica substituição através de um domínio IDN semelhante há muito foi bloqueada em navegadores e registradores, graças à proibição de misturar símbolos de diferentes alfabetos. Por exemplo, um domínio falso aaple.com (‘xn--pple-43d.com’) não pode ser criado substituindo a letra latina ‘a’ (U+0061) pela letra cirílica ‘а’ (U+0430), uma vez que a mistura de letras de diferentes alfabetos não é permitida. Em 2017, foi um método para contornar essa proteção através do uso de apenas símbolos unicode no domínio, sem o uso de caracteres latinos (por exemplo, usando símbolos de uma língua com caracteres semelhantes aos latinos).
Agora foi encontrado mais um método de contorno, baseado no fato de que os registradores bloqueiam a mistura de latim e Unicode, mas se os símbolos Unicode especificados no domínio pertencem ao grupo de caracteres latinos, tal mistura é permitida, uma vez que os símbolos pertencem ao mesmo alfabeto. O problema é que na extensão existem omógrafos que se assemelham a outros caracteres do alfabeto latino:
o símbolo ‘’ se parece com ‘a’, ‘’ — ‘g’, ‘’ — ‘l’.
A possibilidade de registrar domínios em que o latino é misturado com os símbolos Unicode especificados foi identificada no registrador Verisign (outros registradores não foram testados), e subdomínios puderam ser criados nos serviços da Amazon, Google, Wasabi e DigitalOcean. O problema foi identificado em novembro do ano passado e, apesar das notificações enviadas, três meses depois foi resolvido apenas na Amazon e Verisign.
No experimento, os pesquisadores gastaram 400 dólares para registrar os seguintes domínios na Verisign:
- amɑzon.com
- chɑse.com
- sɑlesforce.com
- ɡmɑil.com
- ɑppɩe.com
- ebɑy.com
- ɡstatic.com
- steɑmpowered.com
- theɡuardian.com
- theverɡe.com
- washinɡtonpost.com
- pɑypɑɩ.com
- wɑlmɑrt.com
- wɑsɑbisys.com
- yɑhoo.com
- cɩoudfɩare.com
- deɩɩ.com
- gmɑiɩ.com
- gooɡleapis.com
- huffinɡtonpost.com
- instaɡram.com
- microsoftonɩine.com
- ɑmɑzonɑws.com
- ɑndroid.com
- netfɩix.com
- nvidiɑ.com
- ɡoogɩe.com
Os pesquisadores também lançaram para verificar seus domínios em busca de possíveis alternativas com homógrafos, incluindo a verificação de domínios já registrados e certificados TLS com nomes semelhantes. No que diz respeito aos certificados HTTPS, foram verificados 300 domínios com homógrafos através dos logs de Certificação de Transparência, dos quais 15 tiveram a geração de certificados registrada.
Os navegadores atuais Chrome e Firefox exibem esses domínios na barra de endereços na notação com o prefixo "xn--", no entanto, nos links, os domínios aparecem sem essa transformação, o que pode ser utilizado para inserir páginas de recursos maliciosos ou links disfarçados como se fossem carregados de sites legítimos. Por exemplo, em um dos domínios com homógrafos identificados, foi registrado a distribuição de uma variante maliciosa da biblioteca jQuery.
Fonte: opennet.ru
