Eine Webadresse kann legitim aussehen, selbst wenn sie Zeichen enthält, die gezielt eine vertrauenswürdige Domain imitieren.
Die Sicherheitsforscher Ian Muscat und Leanne Briffa von Have I Been Squatted haben zwei Schwachstellen im Umgang von Chromium mit internationalisierten Domainnamen identifiziert. Die Probleme betreffen das kyrillische Zeichen ө und das lateinische Zeichen ƙ, die bestimmten täuschend ähnlichen Domains helfen können, Browserprüfungen zur Erkennung irreführender Adressen zu umgehen.
Ihre Analyse von .com-Domains ergab laut The Register rund 162.000 potenziell verwirrende .com-Domainpaare. Dabei handelt es sich nicht um bestätigte Phishing-Websites, doch die Ergebnisse zeigen, wie Angreifer Zeichen mit ähnlichem Aussehen ausnutzen könnten, um vertrauenswürdige Dienste zu imitieren und möglicherweise Zugangsdaten zu stehlen.
Wie zwei Zeichen die Domain-Prüfungen von Chromium umgehen
Homografische Angriffe nutzen Zeichen aus verschiedenen Schriftsystemen, die bekannten Buchstaben ähnlich sehen. Angreifer können damit Domains registrieren, die legitimen Websites nahezu identisch erscheinen. Diese Technik wird als homografischer Angriff bezeichnet.
Forscher von Have I Been Squatted haben zwei unübliche Zeichen für Webadressen identifiziert, die Schwachstellen darin ausnutzen, wie Browser irreführende Domainnamen erkennen. Bei den fraglichen Zeichen handelt es sich um das kyrillische ө und das lateinische ƙ.
Die Ergebnisse der Forscher zeigen, wie diese Zeichen täuschend ähnliche Domains erzeugen können.
Die erste Schwachstelle betrifft SafeToDisplayAsUnicode(). Die Forscher stellten fest, dass ө in einer Liste ähnlich aussehender Zeichen fehlte. Dadurch konnten bestimmte irreführende Domains eine Prüfung passieren, die irreführende Darstellungen verhindern soll.
Die zweite Schwachstelle betrifft GetSimilarTopDomains(), das die normalisierte Zeichendarstellung einer Domain – das sogenannte Skelett – mit den Namen beliebter Websites vergleicht, um mögliche Imitationen zu erkennen.
Den Forschern zufolge entgeht ƙ (ausgesprochen wie k mit einem Haken) dieser Erkennung während des Vergleichs. Dadurch können täuschend ähnliche Domains mit dem Buchstaben ƙ als normales k ausgegeben werden.
Die Forscher demonstrierten die Technik anhand täuschend ähnlicher Domains, die Apple, SpaceX, Okta und Nike imitieren. Die Adressen enthalten Zeichen, die bekannten lateinischen Buchstaben ähnlich sehen, aber andere zugrunde liegende Unicode-Werte haben.
- aррӏө[.]com
- sрасөх[.]com
- oƙta[.]com
- niƙe[.]com
Warum Chromiums bestehende Prüfungen diese Domains möglicherweise übersehen
Die meisten Nutzer verlassen sich darauf, dass ihr Browser verdächtige Websites erkennt – insbesondere solche, die durch einen homografischen Angriff legitimen Websites ähneln sollen. Wenn diese Schutzvorkehrungen nicht wie vorgesehen funktionieren, halten Nutzer eine Website möglicherweise für sicher, obwohl sie tatsächlich in eine Falle geraten.
Die Forscher zeigten, dass diese Schwachstellen in der getesteten Chromium-Umgebung auftraten, darunter auch Chrome 154 – die zum Zeitpunkt der Untersuchung aktuelle Version von Google Chrome. Das verdeutlicht eine Einschränkung von Software-Updates: Sie können bekannte Schwachstellen beheben und bestehende Schutzmaßnahmen verbessern, doch eine neu entdeckte Umgehungsmöglichkeit kann weiterhin funktionieren, bis sie durch einen Patch geschlossen wird.
Das bedeutet, dass Personen, die sich auf ihren Browser verlassen, Opfer von Phishing werden können, wenn ein Angreifer eine überzeugende UI und UX mit einer homografischen Domain kombiniert.
Für Unternehmen entsteht ein ähnliches Problem. In diesem Fall kann dies jedoch zu einem weitaus größeren Problem führen.
So bleiben Sie sicher
Die Ergebnisse unterstreichen, warum Nutzer sich bei der Entscheidung, ob sie einer Website vertrauen, nicht allein auf das Aussehen der Webadresse verlassen sollten.
Das Aufrufen sensibler Websites über gespeicherte Lesezeichen oder vertrauenswürdige Anwendungen kann die Gefahr durch irreführende Links verringern. Auch Passwortmanager können helfen, da sie gespeicherte Zugangsdaten in der Regel bestimmten Domains zuordnen, statt sich auf optische Ähnlichkeit zu verlassen.
- Auch wenn sie keinen Schutz vor jeder neuen Spoofing-Technik garantieren können, bleiben aktuelle Browser ein wichtiges Schutzinstrument.
- Klicken Sie nicht auf unerwartete Anmeldelinks in E-Mails, Textnachrichten oder Social-Media-Beiträgen. Das ist hier besonders relevant, weil in der Demonstration der Forscher sowohl Gmail als auch Outlook die Prüfungen gegen die täuschend ähnlichen Websites ebenfalls nicht ordnungsgemäß anwendeten.
- Geben Sie die tatsächliche URL selbst ein, auch wenn das umständlich ist.
- Wenn eine Webadresse oder Benutzeroberfläche ungewöhnlich aussieht, Sie unerwartet zur Anmeldung auffordert oder Sie zu einem unbekannten Ziel weiterleitet, halten Sie inne und überprüfen Sie die Adresse erneut, oder prüfen Sie, ob offizielle Dokumentation ein solches Vorgehen unterstützt.
- Aktivieren Sie die Multi-Faktor-Authentifizierung für wichtige Konten, vorzugsweise mit Passkeys, sofern verfügbar. Das bietet einen besseren Schutz vor Phishing.
Unternehmen sollten außerdem nach Domains Ausschau halten, die ihre Marken imitieren, und gegebenenfalls die Registrierung risikoreicher Varianten erwägen. Schulungen zum Sicherheitsbewusstsein können Mitarbeitern helfen, verdächtige Anmeldeanfragen zu erkennen. Eine rein visuelle Prüfung bietet jedoch keinen zuverlässigen Schutz vor ausgefeilten homografischen Angriffen.
Die Ergebnisse der Forscher zeigen, dass selbst etablierte Browserschutzmaßnahmen bestimmte irreführende Adressen übersehen können. Bis die betroffenen Prüfungen angepasst sind, sollten Nutzer und Organisationen vertraut aussehende Domains nur als ein Indiz für die Legitimität einer Website betrachten.
Weitere Nachrichten: Sicherheitsforscher haben P7 DarkSword entdeckt, eine neue iPhone-Spyware-Variante, die Apple-Keychain-Zugangsdaten, Daten aus Kryptowährungs-Wallets und andere sensible Informationen stehlen kann.