Homograph-Angriff über Punycode Domains

Wie das Onlinemagazin Golem berichtet, wurde erneut ein Hackerangriff über Punycode Domains simuliert und Apple damit bloßgestellt. Phishing Attacken über anscheinend völlig identische Domains gehören zu den wirklich relevanten Bedrohungen, wie das Proof-of-Concept der Domain xn—80ak6aa92e.com deutlich gezeigt hat. Die „Angreifer“ haben in der Simulation deutlich gezeigt, dass Domains statt durch ASCII-Zeichen durch Zeichen aus einem anderen Zeichensatz repräsentiert werden. Darauf reagieren jetzt auch die Branchenriesen.

Browserhersteller mit Defense-Konzepten
Die großen Hersteller von modernen Browsern haben nach dieser erneuten Demonstration besorgt reagiert und kurzfristige Änderungen angekündigt. Google wird nach eigenen Angaben in der Chrome Version 58 einen Unicode-Phishing Sheeld einspielen, der adäquaten Schutz gegen diese Art Angriffe bieten soll. Auch Mozilla denkt über einen Schutzmechanismus nach, hat sich aber noch nicht endgültig festgelegt. Bisher hat Mozilla die Pflicht zur Sicherung der Domains immer an den Domainbetreiber weitergegeben, wird aber diese Meinung nun revidieren müssen. Der Testversuch einer „Whitelist“ ist nach kurzer Phase gescheitert und damit keine Option mehr.

Punycode-Domains für Nutzer schlecht erkennbar
Für den Nutzer sind die Phishing Sites im Alltagsgeschäft kaum erkennbar. Die meisten Browser haben bereits Schutzmechanismen gegen diese Homograph- Angriffe. Sie reagieren aber nicht, wenn die Buchstaben der URL mit Zeichen aus anderen Alphabeten überschrieben werden. Dann wird aus Apple. plötzlich die Punycode-Domain  xn—80ak6aa92e.com, doch der Nutzer sieht dies in der Adresszeile nicht. Einen Schutz gibt es bisher kaum, denn wenn nicht alle Zeichen der URL komplett in einem Zeichensatz registriert sind, wird die Domainadresse in Punycode angezeigt. Hacker nutzen diese Umwandlung für Phishing und sind immer öfter erfolgreich mit dieser Masche. Um das Täuschungsmanöver zu vervollständigen, sind auch Phishing-Domains oft mit Let`s Encrypt-Zertifikaten ausgestattet, die den Besucher in Sicherheit wiegen sollen. Für die Nutzer ist die Situation kaum überschaubar, also liegt es jetzt an den Entwicklern von Google, Microsoft , Mozilla und Co, für mehr Schutz im freien Internet zu sorgen.