typosquatting

Typosquatting to rejestrowanie domen różniących się od zaufanego adresu co najmniej jednym znakiem, aby przejąć ruch użytkowników, którzy pomylą się przy wpisywaniu adresu albo nie sprawdzą go wzrokiem przed kliknięciem ^[1]. MITRE w katalogu CAPEC podaje przykład domeny www.goggle.com i opisuje skutek: użytkownik trafia do miejsca kontrolowanego przez atakującego ^[1]. Sprawcę nazywa się typosquatterem. Zjawisko wykorzystuje ludzką nieuwagę, a nie błąd w oprogramowaniu, dlatego należy do socjotechniki.

Jak działa

CAPEC dzieli atak na trzy kroki ^[1]. Najpierw sprawca wybiera witrynę do podszycia, zwykle zaufaną i mającą stały ruch. Potem rejestruje domenę-literówkę. Na końcu musi skłonić użytkownika do wejścia na nią: czeka na pomyłkę przy wpisywaniu albo podsuwa link w wiadomości. Warunkiem jest znajomość popularnych domen, którymi da się zmylić ofiarę ^[1].

MITRE ATT&CK wymienia trzy główne zastosowania zdobytych domen: phishing, zarażanie przez odwiedziny strony i infrastrukturę dowodzenia i kontroli ^[2]. Typosquatting może więc wspierać dostarczenie ładunku przez stronę, którą ofiara odwiedza omyłkowo ^[2].

Typowy scenariusz wyłudzenia danych logowania pokazuje schemat poniżej.

RYS. 1Wyłudzenie hasła przez domenę-literówkę

Odmiany

Domeny-literówki powstają na kilka sposobów. ATT&CK zalicza tu także domeny podobne wizualnie, z innymi znakami albo inną domeną najwyższego poziomu ^[2].

Ostatni wariant ATT&CK nazywa atakiem homograficznym na domeny internacjonalizowane ^[2]; opisuje go osobne hasło atak homograficzny. Pokrewne są slopsquatting i dependency confusion (podmiana zależności), w których podszycie dotyczy nazwy pakietu w repozytorium, a nie domeny.

W WordPressie

Właściciel strony WordPress spotyka typosquatting w trzech miejscach.

Domena strony. Ktoś rejestruje literówkę adresu sklepu albo firmy i stawia na niej kopię strony logowania wp-login.php lub fałszywą stronę płatności. Ofiarami są klienci i pracownicy, którzy wpiszą adres z błędem albo klikną link w mailu. Na domenach-literówkach działa też poczta, więc typosquatting często wspiera oszustwa na przelew i podszywanie się pod nadawcę.

Nazwy wtyczek. Katalog WordPress.org zabrania używania cudzego znaku towarowego albo nazwy projektu jako jedynego lub pierwszego członu sluga wtyczki bez dowodu prawa do niego ^[5]. Wytyczne zalecają formę „funkcja dla produktu” zamiast „produkt funkcja”, żeby nie sugerować oficjalnego związku z cudzym projektem ^[5]. Poza oficjalnym katalogiem takich reguł nie ma, dlatego fałszywe wtyczki podszywające się pod znane nazwy krążą na nieoficjalnych stronach.

Zasoby zewnętrzne. Literówka w adresie skryptu, czcionki albo CDN wpisanym w motyw oznacza, że strona ładuje zasób z domeny, którą może kupić ktoś obcy. To odmiana ataku na łańcuch dostaw.

Zagrożenia i skutki

Najłagodniejszą formą jest zarabianie na reklamach i programach partnerskich wyświetlanych osobom, które się pomyliły ^[3]. Groźniejsze jest przejęcie danych uwierzytelniających i pieniędzy. Typosquatting bywa też narzędziem grup APT: ATT&CK odnotowuje, że APT28 rejestrowała domeny imitujące strony NATO, OBWE i innych organizacji ^[7].

Jak się bronić

CAPEC wymienia dwa środki: uwierzytelnianie serwerów i dodatkowe sprawdzenia przy używaniu nazw DNS oraz wykupienie prawdopodobnych literówek i przekierowanie ich na właściwą domenę ^[1].

• Wykup najbardziej oczywistych wariantów własnej domeny, zwłaszcza tych z pominiętą kropką i w popularnych domenach najwyższego poziomu.
• Wdrożenie SPF, DKIM i DMARC utrudnia podszywanie się pod własną domenę, choć nie blokuje poczty z domeny-literówki.
• Menedżer haseł przypisuje hasło do zapisanego adresu, więc na obcej domenie nie podpowie danych logowania.
• Zauważoną literówkę podszywającą się pod polską instytucję można zgłosić do CERT Polska przez formularz incydent.cert.pl ^[6]. Od marca 2020 roku CERT prowadzi listę ostrzeżeń, a domeny z niej blokowane są przez operatorów na 6 miesięcy ^[6].

Historia i przykłady

Polska, 2010. Niebezpiecznik 16 marca 2010 roku opisał polskie domeny-literówki ^[3]. Najczęstszym błędem wykorzystywanym przez typosquatterów było pominięcie kropki między „www” a nazwą domeny ^[3]. Wśród przykładów były warianty adresów dużych portali i serwisu aukcyjnego, prowadzące do reklam albo do programów partnerskich, oraz domena udająca bank ^[3].

Giełdy kryptowalut, 2019. Sekurak 26 czerwca 2019 roku opisał zatrzymanie sześciu osób w Wielkiej Brytanii i Holandii ^[4]. Sprawcy rejestrowali domeny podobne do adresów giełd kryptowalut; według opisu zarobili około 24 milionów funtów, czyli ponad 100 milionów złotych, a poszkodowanych było ponad 4 tysiące osób z 12 krajów ^[4].