Criminelen gebruiken punycode-domein om Brave.com te imiteren
Criminelen hebben vorige week een punycode-domein gebruikt om de domeinnaam van de Brave-browser te imiteren en zo malware te verspreiden. Om verkeer naar de malafide website te genereren werd er gebruikgemaakt van advertenties binnen de Google-zoekmachine, zo liet Brave-ontwikkelaar Jonathan Sampson via Twitter weten.
Punycode is een manier om met een beperkte karakterset internationale domeinnamen weer te geven. Zo wordt "münich" weergegeven als "mnich-kva". Een internationale domeinnaam gebruikt de punycode-encoding en voegt er "xn--" voor. Zo wordt "münich.com" weergegeven als "xn--mnich-kva.com". Onlangs registreerden criminelen de domeinnaam "xn--brav-yva.com", die door browsers als brave.com wordt weergegeven, maar dan met een accent boven de e.
Vervolgens werd er een kopie van de echte Brave-website aan deze domeinnaam gekoppeld. In plaats van een browser leidde de downloadknop echter naar malware. Het ip-adres achter de website bleek voor meer malafide punycode-domeinen te worden gebruikt die zich voordeden als de websites van Ledger.com, Signal.com en Telegram.com, meldt onderzoeker Martijn Grooten van securitybedrijf SilentPush. Na te zijn ingelicht haalde registrar NameCheap de domeinen offline en verwijderde Google de malafide advertentie.
1. Open about:config
2. Zet de waarde "network.IDN_show_punycode" op "true"
3. Test de instelling met de website https://www.xn--80ak6aa92e.com/. Deze heeft als domein www.apple.com als punycode weergeven uitgeschakeld is.
Als dat niet zo is wordt het hoog tijd dat google ene betere ' ken je klant ' beleid gaat voeren. Met grote regelmaat kom je via hun advertenties uit bij phishing sites, malware, etc.etc.
Het probleem is dat veel webbrowsers, in links en de URL-balk, i.p.v. een punycode, een IDN tonen (International Domain Name), waarmee gebruikers op het verkeerde been kunnen worden gezet.
Het is m.i. schandalig dat je voor duidelijk misleidende domeinnamen zowel een DNS- registratie kunt kopen als er een https servercertificaat voor kunt verkrijgen (no thanks to Let's Encrypt die dit niet hun probleem vindt).
Hoe dit technisch in elkaar steekt maakt voor de gebruiker niets uit. Chinese websites of andere websites die unicode karakters willen gebruiken die niet in de klassieke ascii set zitten, doen niet anders dan het gebruiken van puny-code. Allemaal nodig omdat je geen unicode in een domeinnaam kunt gebruiken (Wel in de rest van het pad)
https://www.punycoder.com
Wat dat betreft is het vreemd dat een firma als Univé de domeinnaam "univé.nl" niet geregistreerd heeft maar wel de iets fout gespelde naam "unive.nl".
Het probleem is dat veel webbrowsers, in links en de URL-balk, i.p.v. een punycode, een IDN tonen (International Domain Name), waarmee gebruikers op het verkeerde been kunnen worden gezet.
Weet je, of iemand anders, of een dergelijke "show punycode" instelling ook in andere browsers in te stellen is? Ik ben zelf niet thuis in andere browsers dan Firefox.
Safety Warning bij testen op https://www.xn--80ak6aa92e.com/
The site you just tried to visit looks fake.
Attackers sometimes mimic sites by making small, hard-to-see changes to the URL.
Dan kun je dat serieus nemen of ignoreren.
luntrus
Persoonlijk heb ik liever een alles-of-niets "disable IDN's" instelling, temeer daar de meeste Nederlandertaligen zelden of nooit met websites met IDN's te maken krijgen. Beter, als de default in Nederland "disable/do not show IDN's" zou zijn, en het relatief kleine aantal taalgenoten dat wel IDN's wil zien, dat op "enable" zet, zouden niet-doelgerichte IDN-aanvallen op Nederlandstalige surfers waarschijnlijk nauwelijks lucratief zijn.
Helaas heb je in Firefox voor Android geen toegang tot about:config (wel in Firefox Nightly voor Android, die ik ook gebruik, en daarin zie ik dus punycode).
[...] Wel lijken verschillende browsers lijsten van "foute" domeinnamen aan boord te hebben (en/of een detectiealgoritme), waardoor het onvoorspelbaar kan zijn of je de IDN of de punycode domeinnaam te zien krijgt.
https://chromium.googlesource.com/chromium/src/+/main/docs/idn.md
Helaas betekent dit ook dat cybercriminelen kunnen zoeken naar IDN's die toch door browsers van de doelgroep worden getoond.
Persoonlijk heb ik liever een alles-of-niets "disable IDN's" instelling, temeer daar de meeste Nederlandertaligen zelden of nooit met websites met IDN's te maken krijgen. Beter, als de default in Nederland "disable/do not show IDN's" zou zijn, en het relatief kleine aantal taalgenoten dat wel IDN's wil zien, dat op "enable" zet, zouden niet-doelgerichte IDN-aanvallen op Nederlandstalige surfers waarschijnlijk nauwelijks lucratief zijn.
Jammer genoeg hebben Firefox gebruikers die niet op de hoogte zijn van de "show punycode" optie daar niks aan, gezien het feit dat die optie ingeschakeld moet worden door de gebruiker.
(En blijft SIDN voor .nl IDN niet ondersteunen... fingers crossed, scheelt hoop ellende).
De show punycode staat al echt maanden aan in de nieuwste Firefox/Waterfox. Je hoeft dus niets meer in te stellen. Vroeger was dit inderdaad anders en moest je naar about:config.
Kun je ook een bron aangeven die vermeldt dat 'show punycode' al maanden standaard ingeschakeld is in Firefox?
Dankjewel alvast.
ook al helpen ze voor zover ze redelijkerwijs kunnen mee om het zo goed mogelijk in goede banen te leiden.
pip3 install dnstwist
~/.local/bin/dnstwist --registered brave.com
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
