Möjlighet till registrering av phishing-domäner med liknande unicode-tecken i namnet

Forskare från företaget Soluble har upptäckt en ny metod för registrering av domäner med omoglyphs, som utåt ser ut att likna andra domäner, men som faktiskt skiljer sig på grund av närvaron av symboler med annat betydelse. Sådana internationaliserade domäner (IDN) kan vid första ögonkastet verka likna domäner för kända företag och tjänster, vilket gör att de kan användas för phishing, inklusive att få korrekta TLS-certifikat för dem.

Den klassiska förfalskningen genom en liknande IDN-domän har länge blockerats i webbläsare och av registrarer, tack vare förbudet mot att blanda symboler från olika alfabet. Till exempel kan en förfalskad domän aпple.com (»xn--pple-43d.com«) inte skapas genom att byta ut den latinska «a» (U+0061) mot den kyrilliska «а» (U+0430), eftersom blandning av bokstäver från olika alfabet inte är tillåten. År 2017 upptäcktes ett sätt att kringgå sådan skydd genom att använda enbart unicode-tecken i domänen, utan att använda latinska bokstäver (till exempel genom att använda tecken från språk med liknande tecken som latinska).

Nu har en ytterligare metod för att kringgå skyddet hittats, baserat på att registrarer blockerar blandning av latinska och Unicode-tecken, men om de angivna Unicode-tecknen i domänen tillhör den latinska teckengruppen, tillåts sådan blandning, eftersom tecknen tillhör samma alfabet. Problemet är att i utvidgningen Unicode Latin IPA finns omoglyphs som liknar andra symboler i det latinska alfabetet:
tecknet «ɑ» påminner om «a», «ɡ» — «g», «ɩ» — «l».

Möjligheten att registrera domäner där latinska bokstäver blandas med angivna Unicode-tecken har upptäckts hos registrarer som Verisign (andra registrarer har inte kontrollerats), och underdomäner har kunnat skapas i tjänster som Amazon, Google, Wasabi och DigitalOcean. Problemet upptäcktes i november förra året och, trots skickade meddelanden, åtgärdades det tre månader senare först i Amazon och Verisign.

Under experimentet spenderade forskarna 400 dollar på att registrera följande domäner hos Verisign:

• amɑzon.com
• chɑse.com
• sɑlesforce.com
• ɡmɑil.com
• ɑppɩe.com
• ebɑy.com
• ɡstatic.com
• steɑmpowered.com
• theɡuardian.com
• theverɡe.com
• washinɡtonpost.com
• pɑypɑɩ.com
• wɑlmɑrt.com
• wɑsɑbisys.com
• yɑhoo.com
• cɩoudfɩare.com
• deɩɩ.com
• gmɑiɩ.com
• gooɡleapis.com
• huffinɡtonpost.com
• instaɡram.com
• microsoftonɩine.com
• ɑmɑzonɑws.com
• ɑndroid.com
• netfɩix.com
• nvidiɑ.com
• ɡoogɩe.com

Forskare har också lanserat en online-tjänst för att kontrollera sina domäner för möjliga alternativa varianter med homoglyphs, inklusive kontroll av redan registrerade domäner och TLS-certifikat med liknande namn. När det gäller HTTPS-certifikat, har 300 domäner med homoglyphs kontrollerats via Certificate Transparency-loggar, av vilka 15 registrerade certifikat har dokumenterats.

De aktuella webbläsarna Chrome och Firefox visar sådana domäner i adressfälten med prefixet "xn--", men i länkarna framstår domänerna utan omvandling, vilket kan utnyttjas för inlänkning till skadliga resurser eller länkar, under förevändning att de laddas ner från legitima webbplatser. Till exempel har en av de upptäckta domänerna med homoglyphs dokumenterat spridning av en skadlig variant av jQuery-biblioteket.

Källa: opennet.ru