Дослідники: кириличні «двійники» доменів все ще обходять захист
Команда Have I Been Squatted показала, що комбінації символів Unicode у доменах можуть обманути перевірки браузерів, попри розвинені фільтри Chromium.
Дослідники з Have I Been Squatted (HIBS) описали прийоми, що дозволяють створювати фішингові домени-двійники з Unicode, які обходять чинні механізми виявлення у браузерах.
Контекст: Unicode у доменах і ризик гомографії
За даними Tom's Hardware, після рішення IETF дозволити символи Unicode в доменних іменах з’явилася можливість підміни, коли різні символи виглядають однаково або дуже схоже. Це відкриває шлях до typosquatting — створення сайтів з адресами, що майже не відрізняються від справжніх і спроможні ввести користувача в оману.
Chromium має захист, але є винятки
У матеріалі зазначено, що браузер Chromium використовує найбільш просунутий набір правил для виявлення й блокування підозрілих доменів. Втім, HIBS показує, що залишаються крайові випадки, коли комбінації символів можуть пройти крізь кілька рівнів перевірок.
Кирилиця як поле для маніпуляцій
Дослідники наводять приклад «аррӏө.com», який візуально нагадує «apple.com», але використовує інші символи. Зокрема, кириличні літери можуть бути двійниками латиниці: а → a, е → e, о → o, р → p, с → c. Подібність шрифтів і поєднань символів ускладнює автоматичне виявлення підміни.
Як працює атака
Зловмисники реєструють функційні домени з навмисними «помилками», які виглядають як оригінальні адреси. Користувачі можуть потрапляти на такі сторінки через результати пошуку або помилку під час введення URL, після чого зловмисники отримують можливість запустити атаку проти відвідувача.
У звіті HIBS детально розбираються обставини, за яких конкретні поєднання символів уникають захисту, підкреслюючи, що навіть комплексні фільтри потребують подальшого вдосконалення.
