Une adresse web peut sembler légitime même lorsqu’elle contient des caractères conçus pour usurper l’identité d’un domaine de confiance.
Les chercheurs en sécurité Ian Muscat et Leanne Briffa, de Have I Been Squatted, ont identifié deux failles dans la gestion des noms de domaine internationalisés par Chromium. Ces problèmes concernent le caractère cyrillique ө et le caractère latin ƙ, qui peuvent aider certains domaines ressemblants à échapper aux contrôles du navigateur destinés à détecter les adresses trompeuses.
Leur analyse de domaines en .com a recensé environ 162 000 paires de domaines .com potentiellement trompeuses, selon The Register. Bien qu’il ne s’agisse pas de sites d’hameçonnage confirmés, ces résultats montrent comment des attaquants pourraient exploiter des caractères visuellement similaires pour usurper l’identité de services de confiance et potentiellement dérober des identifiants.
Comment deux caractères contournent les contrôles de domaine de Chromium
Les attaques par homographe exploitent des caractères issus de différents systèmes d’écriture qui ressemblent à des lettres familières. Les attaquants peuvent les utiliser pour enregistrer des domaines qui paraissent presque identiques à des sites légitimes. Cette technique est appelée attaque par homographe.
Les chercheurs de Have I Been Squatted ont identifié deux caractères d’adresse web non conventionnels qui exploitent des failles dans la manière dont les navigateurs détectent les noms de domaine trompeurs. Les caractères concernés sont les caractères cyrillique ө et latin ƙ.
Les résultats des chercheurs montrent comment ces caractères peuvent créer des domaines ressemblants.
La première faille concerne la fonction SafeToDisplayAsUnicode(). Les chercheurs ont constaté que ө ne figurait pas dans une liste de caractères confondables, permettant à certains domaines trompeurs de passer un contrôle destiné à empêcher les affichages mensongers.
La seconde faille concerne la fonction GetSimilarTopDomains(), qui compare la représentation normalisée des caractères d’un domaine, appelée squelette, avec les noms de sites web populaires afin d’identifier les usurpations potentielles.
Selon les chercheurs, ƙ (qui se lit comme un k muni d’un crochet) échappe à cette détection lors de la comparaison, ce qui permet de faire passer des domaines ressemblants contenant la lettre ƙ pour des domaines utilisant le k normal.
Les chercheurs ont démontré cette technique à l’aide de domaines ressemblant à ceux d’Apple, de SpaceX, d’Okta et de Nike. Ces adresses contiennent des caractères qui semblent similaires à des lettres latines familières, mais dont les valeurs Unicode sous-jacentes sont différentes.
- aррӏө[.]com
- sрасөх[.]com
- oƙta[.]com
- niƙe[.]com
Pourquoi les contrôles existants de Chromium peuvent ne pas détecter ces domaines
La plupart des utilisateurs comptent sur leur navigateur pour repérer les sites web suspects, notamment ceux conçus pour ressembler à des sites légitimes au moyen d’une attaque par homographe. Lorsque ces protections ne fonctionnent pas comme prévu, les utilisateurs peuvent croire qu’un site est sûr alors qu’ils s’exposent en réalité à un danger.
Les chercheurs ont montré que ces failles touchaient l’environnement Chromium testé, notamment Chrome 154 — la dernière version de Google Chrome au moment de la recherche. Cela met en évidence une limite des mises à jour logicielles : elles peuvent corriger des vulnérabilités connues et améliorer les protections existantes, mais un contournement récemment découvert peut rester opérationnel jusqu’à la publication d’un correctif.
Cela signifie que les personnes qui comptent sur leur navigateur peuvent être victimes d’hameçonnage si un attaquant associe une interface et une expérience utilisateur convaincantes à un domaine homographe.
Pour les entreprises, le problème est similaire, mais dans ce cas, des employés qui saisissent leurs identifiants professionnels sur des imitations convaincantes d’applications d’entreprise peuvent entraîner un problème bien plus grave.
Voici comment rester en sécurité
Ces résultats rappellent pourquoi les utilisateurs ne doivent pas se fier uniquement à l’apparence d’une adresse web pour décider de lui accorder leur confiance.
L’accès aux sites web sensibles via des favoris enregistrés ou des applications de confiance peut réduire l’exposition aux liens trompeurs. Les gestionnaires de mots de passe peuvent également aider, car ils associent généralement les identifiants enregistrés à des domaines précis plutôt que de se fier à la ressemblance visuelle.
- Même s’ils ne peuvent pas garantir une protection contre toutes les nouvelles techniques d’usurpation, maintenir vos navigateurs à jour reste un mécanisme de défense important.
- Évitez de cliquer sur des liens de connexion inattendus dans les e-mails, les SMS ou les publications sur les réseaux sociaux. Cela est particulièrement pertinent ici car, lors de la démonstration des chercheurs, Gmail et Outlook n’ont pas non plus appliqué correctement les contrôles contre les sites web ressemblants.
- Saisissez vous-même l’URL réelle, même si cela n’est pas pratique.
- Si une adresse web ou une interface semble inhabituelle, vous demande de vous connecter de manière inattendue ou vous redirige vers une destination inconnue, arrêtez-vous et vérifiez à nouveau l’adresse, ou vérifiez que la documentation officielle prévoit ce type d’action.
- Activez l’authentification multifacteur sur les comptes importants, de préférence au moyen de clés d’accès lorsqu’elles sont disponibles, car cette méthode offre une protection renforcée contre l’hameçonnage.
Les entreprises devraient également surveiller les domaines usurpant leur marque et envisager d’enregistrer les variantes à haut risque lorsque cela est possible. La sensibilisation à la sécurité peut aider les employés à reconnaître les demandes de connexion suspectes, même si une simple inspection visuelle ne constitue pas une défense fiable contre les attaques par homographe sophistiquées.
Les résultats des chercheurs montrent que même les protections bien établies des navigateurs peuvent ne pas détecter certaines adresses trompeuses. En attendant la correction des contrôles concernés, les utilisateurs et les organisations devraient considérer les domaines d’apparence familière comme un simple indice parmi d’autres de la légitimité d’un site web.
Autre actualité : les chercheurs en sécurité ont découvert P7 DarkSword, une nouvelle variante de logiciel espion pour iPhone capable de dérober les identifiants du trousseau Apple, les données de portefeuilles de cryptomonnaies et d’autres informations sensibles.