Cos'è un attacco omografico
Quando un hacker utilizza un attacco omografico utilizza dei domini con nomi molto simili agli originali utilizzando ad esempio uno “0” per sostituire una “O”, come nel caso di g00gle.com. Il fine di tale attacco è quello di attirare gli utenti all’interno di siti fasulli estraendo i suoi dati personali, di diffondere un malware o rendere più credibile una mail di phishing rendendo il sito simile a quello originale. Il problema è che gli attacchi omografici IDN possono essere molto difficili da riconoscere rispetto ai domini a cui stanno facendo “spoofing”, essendo le lettere dei vari alfabeti quasi identiche.
Anche se il rischio di attacchi omografici IDN è stato rilevato soprattutto nei browser web, Bitdefender ha verificato che i domini oggetto di spoofing utilizzati nelle applicazioni di Microsoft Office sono difficili da distinguere, rendendo così elevata la probabilità di attirare l’utente al clic.
Riguardo gli attacchi omografici a Microsoft Office Bitdefender ha rilevato:
- Che tutte le applicazioni rimangono vulnerabili agli attacchi omografici IDN;
- Testando altre applicazioni ha riscontrato un comportamento anomalo rilevando che alcune applicazioni visualizzano sempre l’indirizzo reale, mentre altre visualizzano un nome internazionale;
- Ha segnalato questo problema a Microsoft nell’ottobre 2021 e il Microsoft Security Response Center ha confermato la validità dei risultati di Bitdefender. Non è, però, ancora noto se e quando Microsoft risolverà il problema;
- Gli attacchi al nome di dominio internazionalizzato sono uno strumento potente che APT o RaaS possono utilizzare contro aziende strutturate come istituzioni finanziarie e borse di criptovalute.
Per evitare questo tipo di attacchi Bitdefender raccomanda di:
- Considerare la possibilità di attacchi omografici nei momenti di formazione e di sensibilizzazione degli utenti;
- Implementare una soluzione di sicurezza per gli endpoint che rilevi e blocchi i siti web dannosi;
- Utilizzare i servizi IP e URL per tutti i dispositivi aziendali, tenendo bene a mente che se l‘URL inizia con xn--, il sito è sospetto.
Ogni mese Bitdefender esamina i dati per ottenere maggiori informazioni sul panorama delle minacce in merito agli attacchi omografici, riscontrando una forte tendenza a prendere di mira le operazioni finanziarie, con un focus sui mercati delle criptovalute.