Introducción
Este documento describe el uso de caracteres homoglifo en ataques de phishing avanzados y cómo ser consciente de estos cuando se utilizan filtros de mensajes y contenido en el dispositivo de seguridad Cisco Email Security Appliance (ESA).
Homoglyph Ataques de phishing avanzados
En los ataques avanzados de suplantación de identidad actuales, los correos electrónicos de suplantación de identidad pueden contener caracteres homogéneos. Un homoglifo es un carácter de texto con formas que son casi idénticas o similares entre sí. Es posible que haya URL integradas en los correos electrónicos de suplantación de identidad que no se bloquearán mediante filtros de contenido o mensajes configurados en el ESA.
Un ejemplo de escenario puede ser el siguiente: El cliente desea bloquear un correo electrónico que contiene la URL de www.pɑypal.com. Para ello, se escribe un filtro de contenido entrante que buscará la URL que contiene www.paypal.com. La acción de este filtro de contenido se configuraría para descartar y notificar.
El cliente recibió un ejemplo de un correo electrónico que contenía: www.pɑypal.com
El filtro de contenido configurado contiene: www.paypal.com
Si echa un vistazo a la URL real a través de DNS, notará que se resuelven de manera diferente:
$ dig www.pɑypal.com
; <<>> DiG 9.8.3-P1 <<>> www.pɑypal.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 37851
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 0
;; QUESTION SECTION:
;www.p\201\145ypal.com. IN A
;; AUTHORITY SECTION:
com. 900 IN SOA a.gtld-servers.net. nstld.verisign-grs.com. 1440725118 1800 900 604800 86400
;; Query time: 35 msec
;; SERVER: 64.102.6.247#53(64.102.6.247)
;; WHEN: Thu Aug 27 21:26:00 2015
;; MSG SIZE rcvd: 106
$ dig www.paypal.com
; <<>> DiG 9.8.3-P1 <<>> www.paypal.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 51860
;; flags: qr rd ra; QUERY: 1, ANSWER: 6, AUTHORITY: 8, ADDITIONAL: 8
;; QUESTION SECTION:
;www.paypal.com. IN A
;; ANSWER SECTION:
www.paypal.com. 279 IN CNAME www.paypal.com.akadns.net.
www.paypal.com.akadns.net. 9 IN CNAME ppdirect.paypal.com.akadns.net.
ppdirect.paypal.com.akadns.net. 279 IN CNAME wlb.paypal.com.akadns.net.
wlb.paypal.com.akadns.net. 9 IN CNAME www.paypal.com.edgekey.net.
www.paypal.com.edgekey.net. 330 IN CNAME e6166.a.akamaiedge.net.
e6166.a.akamaiedge.net. 20 IN A 184.50.215.128
;; AUTHORITY SECTION:
a.akamaiedge.net. 878 IN NS n5a.akamaiedge.net.
a.akamaiedge.net. 878 IN NS n7a.akamaiedge.net.
a.akamaiedge.net. 878 IN NS n2a.akamaiedge.net.
a.akamaiedge.net. 878 IN NS n0a.akamaiedge.net.
a.akamaiedge.net. 878 IN NS n1a.akamaiedge.net.
a.akamaiedge.net. 878 IN NS n4a.akamaiedge.net.
a.akamaiedge.net. 878 IN NS n6a.akamaiedge.net.
a.akamaiedge.net. 878 IN NS n3a.akamaiedge.net.
;; ADDITIONAL SECTION:
n0a.akamaiedge.net. 383 IN A 184.27.45.145
n1a.akamaiedge.net. 3142 IN A 184.51.101.8
n2a.akamaiedge.net. 6697 IN A 88.221.81.194
n3a.akamaiedge.net. 31 IN A 88.221.81.193
n4a.akamaiedge.net. 168 IN A 72.37.164.223
n5a.akamaiedge.net. 968 IN A 184.51.101.70
n6a.akamaiedge.net. 1851 IN A 23.220.148.171
n7a.akamaiedge.net. 3323 IN A 184.51.101.73
;; Query time: 124 msec
;; SERVER: 64.102.6.247#53(64.102.6.247)
;; WHEN: Thu Aug 27 21:33:50 2015
;; MSG SIZE rcvd: 470
La primera URL utiliza un homoglifo de la letra "a" del formato unicode.
Si miras de cerca, puedes ver que la primera "a" en paypal es en realidad diferente de la segunda "a".
Tenga en cuenta al trabajar con filtros de contenido y mensajes para bloquear las URL. El ESA no puede distinguir entre homoglifos y caracteres alfabéticos estándar. Una forma de detectar y evitar correctamente el uso de ataques homoglíficos de suplantación de identidad es configurar y activar el filtrado de direcciones URL y de filtros de direcciones URL.
Irongeek proporciona un método para probar homoglifos y crear URL maliciosas de prueba: Homoglyph Attack Generator
Introducción detallada a los ataques homoglíficos de suplantación de identidad, también de Irongeek: Out of Character: Use of Punycode and Homoglyph Attacks to Obfuscate URLs for Phishing
Comentarios