Einleitung
In diesem Dokument wird die Verwendung von Homoglyphen bei komplexen Phishing-Angriffen beschrieben. Außerdem wird erläutert, wie Sie diese bei der Verwendung von Nachrichten- und Content-Filtern auf der Cisco Email Security Appliance (ESA) erkennen können.
Hoch entwickelte Phishing-Angriffe mit Homoglyphen
Bei modernen Phishing-Angriffen können Phishing-E-Mails heute Homogyph-Zeichen enthalten. Eine Homoglyphe ist ein Textzeichen mit Formen, die nahezu identisch oder ähnlich sind. Möglicherweise sind in Phishing-E-Mails URLs eingebettet, die nicht durch auf der ESA konfigurierte Nachrichten- oder Content-Filter blockiert werden.
Ein Beispielszenario könnte wie folgt aussehen: Der Kunde möchte eine E-Mail blockieren, die die URL www.ɑypal.com enthält. Dazu wird ein Filter für eingehenden Inhalt geschrieben, der nach der URL mit www.paypal.com sucht. Die Aktion dieses Inhaltsfilters wird so konfiguriert, dass sie gelöscht wird und Benachrichtigungen sendet.
Der Kunde hat ein Beispiel für eine E-Mail erhalten, die Folgendes enthält: www.pɑypal.com
Der konfigurierte Content-Filter enthält: www.paypal.com
Wenn Sie sich die tatsächliche URL über DNS ansehen, werden Sie feststellen, dass sie anders aufgelöst wird:
$ dig www.pɑypal.com
; <<>> DiG 9.8.3-P1 <<>> www.pɑypal.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 37851
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 0
;; QUESTION SECTION:
;www.p\201\145ypal.com. IN A
;; AUTHORITY SECTION:
com. 900 IN SOA a.gtld-servers.net. nstld.verisign-grs.com. 1440725118 1800 900 604800 86400
;; Query time: 35 msec
;; SERVER: 64.102.6.247#53(64.102.6.247)
;; WHEN: Thu Aug 27 21:26:00 2015
;; MSG SIZE rcvd: 106
$ dig www.paypal.com
; <<>> DiG 9.8.3-P1 <<>> www.paypal.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 51860
;; flags: qr rd ra; QUERY: 1, ANSWER: 6, AUTHORITY: 8, ADDITIONAL: 8
;; QUESTION SECTION:
;www.paypal.com. IN A
;; ANSWER SECTION:
www.paypal.com. 279 IN CNAME www.paypal.com.akadns.net.
www.paypal.com.akadns.net. 9 IN CNAME ppdirect.paypal.com.akadns.net.
ppdirect.paypal.com.akadns.net. 279 IN CNAME wlb.paypal.com.akadns.net.
wlb.paypal.com.akadns.net. 9 IN CNAME www.paypal.com.edgekey.net.
www.paypal.com.edgekey.net. 330 IN CNAME e6166.a.akamaiedge.net.
e6166.a.akamaiedge.net. 20 IN A 184.50.215.128
;; AUTHORITY SECTION:
a.akamaiedge.net. 878 IN NS n5a.akamaiedge.net.
a.akamaiedge.net. 878 IN NS n7a.akamaiedge.net.
a.akamaiedge.net. 878 IN NS n2a.akamaiedge.net.
a.akamaiedge.net. 878 IN NS n0a.akamaiedge.net.
a.akamaiedge.net. 878 IN NS n1a.akamaiedge.net.
a.akamaiedge.net. 878 IN NS n4a.akamaiedge.net.
a.akamaiedge.net. 878 IN NS n6a.akamaiedge.net.
a.akamaiedge.net. 878 IN NS n3a.akamaiedge.net.
;; ADDITIONAL SECTION:
n0a.akamaiedge.net. 383 IN A 184.27.45.145
n1a.akamaiedge.net. 3142 IN A 184.51.101.8
n2a.akamaiedge.net. 6697 IN A 88.221.81.194
n3a.akamaiedge.net. 31 IN A 88.221.81.193
n4a.akamaiedge.net. 168 IN A 72.37.164.223
n5a.akamaiedge.net. 968 IN A 184.51.101.70
n6a.akamaiedge.net. 1851 IN A 23.220.148.171
n7a.akamaiedge.net. 3323 IN A 184.51.101.73
;; Query time: 124 msec
;; SERVER: 64.102.6.247#53(64.102.6.247)
;; WHEN: Thu Aug 27 21:33:50 2015
;; MSG SIZE rcvd: 470
Die erste URL verwendet eine Homoglyphe des Buchstabens "a" des Unicode-Formats.
Wenn Sie genau hinschauen, können Sie sehen, dass das erste "a" in paypal ist eigentlich anders als das zweite "a".
Beachten Sie beim Arbeiten mit Nachrichten- und Inhaltsfiltern, dass URLs blockiert werden. Die ESA kann keinen Unterschied zwischen Homoglyphen und Standardalphabetenzeichen feststellen. Eine Möglichkeit, homoglyphische Phishing-Angriffe ordnungsgemäß zu erkennen und zu verhindern, besteht in der Konfiguration und Aktivierung von OF und URL-Filterung.
Irongeek bietet eine Methode zum Testen von Homoglyphen und zum Erstellen von schädlichen URLs: Homoglyphen Attack Generator
Detaillierte Einführung in Homoglyphen-Phishing-Angriffe, auch von Irongeek: Out of Character: Verwendung von Punycode und Homoglyphen-Angriffen, um URLs für Phishing zu verschleiern
Feedback