Um pesquisador chinês descobriu um novo tipo de ataque de phishing “quase impossível de detectar” que pode ser usado para enganar até mesmo os usuários mais cuidadosos na Internet.
Esta vulnerabilidade permite criar um site fake com certificado digital SSL/TLS válido para um endereço de internet conhecido como por exemplo Apple.com. Google.com, Amazon.com, etc. Ao acessar este site o usuário visualizará na barra de endereço a URL igual ao do site verdadeiro e com um certificado válido, porém estará em um site falso.
DEMO: https://аррӏе.com/
Este tipo de ataque é conhecido como spoofing, onde um endereço de site parece legítimo, porém não é, pois um ou mais caracteres do endereço foram alterados por outros caracteres com outra codificação.
Muitos caracteres Unicode , que representam alfabetos como o grego, cirílico e armênio em nomes de domínio internacionalizados, parecem o mesmo que letras latinas para o olho casual, mas são tratados de forma diferente por computadores com o endereço web completamente diferente.
Por exemplo, o cirílico “а” (U + 0430) eo latino “a” (U + 0041) são tratados diferentes pelos navegadores mas são exibidos “a” no endereço do navegador.
Esta falha permitiu o pesquisador, registrar o domínio xn--80ak6aa92e.com e solicitar um certificado válido para o endereço www.xn--80ak6aa92e.com. Ao acessar este endereço o navegador Chrome, Firefox e Opera transforma/traduz o endereço para www.aple.com.
Apenas os navegadores Internet Explorer, Microsoft Edge e Apple Safari não são vulneráveis a este ataque.
O Google já informou que esta vulnerabilidade será corrigida na versão 58 do Chrome, que está prevista para ser disponibilizada ainda este mês.
Em quanto não sai as devidas atualizações, recomendamos que seja desabilitada a opção Punycode dos navegadores.
Punycode é uma codificação especial usada pelo navegador da Web para converter caracteres Unicode para o conjunto de caracteres limitado de ASCII (AZ, 0-9), suportado pelo sistema de Nomes de Domínio Internacional (IDNs).
Com informações de The hacker news
