دامنه‌های مشابه و نحوه تشخیص آن‌ها

در محل کار خود، ایمیلی دریافت کرده اید که از شما درخواست تغییر پسورد ایمیل تان یا تائید دوره مرخصی‌تان را دارد، یا به درخواست مدیرعامل باید انتقال پول فوری انجام دهید. چنین درخواست‌های غیرمنتظره‌ای می‌تواند شروع یک حمله سایبری به شرکت شما باشد؛ پس باید مطمئن شوید خطر اسکم شما را تهدید نمی کند.

سوال این است که چطور می‌شود آدرس‌های ایمیل یا لینک به وبسایت‌ها را بررسی کرد؟ اولین نکته در مورد تقلبی بودن، نام دامنه است: بخشی از ایمیل بعد از علامت @ یا URL. نام دامنه وظیفه‌اش القای اعتماد به قربانی است. مطمئناً مجرمان سایبری دوست دارند دامنه رسمی شرکت مورد هدف قرار دهند یا دامنه رسمی یکی از تأمین کنندگان یا شرکای تجاری آن را سرقت کنند؛ اما در مراحل اولیه حمله؛ آن‌ها معمولاً چنین گزینه‌ای را در اختیار ندارند. در عوض، پیش از حمله هدف‌دار، آن‌ها دامنه‌ای را که شبیه به دامنه سازمان قربانی است ثبت کرده و امید دارند شما فرق آن را متوجه نشوید. چنین تکنیک‌هایی را حملات شبیه به هم (lookalike attacks) می‌گویند. گام بعدی میزبانی کردن از یک وبسایت جعلی روی دامنه و یا ایمیل اسپم از میل‌باکس مربوط به آن است. در این مقاله قصد داریم برخی از ترفندهایی را که مهاجمین استفاده می‌کنند تا نگذارند شما متوجه جعل دامنه بشوید مورد بررسی قرار می دهیم.

هوموگلیف‌ها: حروف متفاوت با املای یکسان

یکی از ترفندها، استفاده از حروفی است که به لحاظ بصری بسیار به هم شباهت دارند یا واقعاً با همدیگر مو نمی‌زنند. برای مثال حرف کوچک L که می‌شود l در خیلی از فونت‌ها درست شبیه حرف بزرگ i که می‌شود I است. پس ایمیل ارسالی از آدرس JOHN@MlCROSOFT.COM حتی تیزبین‌ترین و دقیق‌ترین‌ها را نیز فریب خواهد داد. البته آدرس واقعی فرستنده john@mLcrosoft.com است! این مدل اسکم‌ها بعد از ثبت دامنه به زبان‌های مختلف، ممکن است افزایش پیدا کند (شامل آن‌هایی که از الفبای لاتین حتی استفاده نمی‌کنند). ο یونانی، о روسی و o لاتین برای انسان کاملاً غیرقابل‌تشخیص است، اما به چشم کامپیوتر این حروف کاملاً با هم تفاوت دارند. همین امر باعث می‌شود تا تعداد زیادی دامنه ثبت گردند که همگی شبیه به microsоft.cοm (با استفاده از ترکیب‌های مختلفی از Oها)، هستند. چنین تکنیک‌هایی که کاراکترهای به لحاظ بصری را به کار می‌گیرند؛ حملات هوموگلیفی یا هوموگراف می‌نامند.

ترکیبی: کمی با چاشنی

در سال های اخیر، تم ترکیبی محبوبِ مجرمان سایبری شده است. برای تقلید از یک ایمیل یا وبسایت شرکت تارگت، آن‌ها دامنه‌ای می‌سازند که نام و کلمه کمکی مربوطه را مانند Microsoft-login.com یا SkypeSupport.com ترکیب می‌کند. موضوع ایمیل و پایان نام دامنه باید به هم بخورند: برای مثال هشداری در مورد دسترسی غیرقانونی به اکانت ایمیل می‌تواند به سایتی با دامنه Outlook لینک شوند. این حقیقت که برخی شرکت‌ها در واقع دامنه‌هایی با کلمات کمکی دارند، نیز شرایط را حتی بدتر کرده است. برای مثال login.microsoftonline.com یک سایت کاملاً قانونی مایکروسافت است. به نقل از پلت‌فرم هوشمند Akamai شایع‌ترین افزونه‌های ترکیبی عبارتند از support, com, login, help, secure, www, account, app, verify, و service. دو افزونه مهم، یعنی www و com اغلب در نام‌های وبسایت‌ ها پیدا می‌شوند و کاربر از همه‌جا بی‌خبر شاید متوجه نقطه‌ جاافتاده نشود: wwwmicrosoft.com، microsoftcom.au.

جعل دامنه رده بالای

گاهی مجرمان سایبری تصمیم می‌گیرند یک همزاد در دامنه رده بالای مختلف (TLD) مانند microsoft.co به جای microsoft.com یا office.pro به جای office.com ثبت کنند. در این مورد، نام شرکت جعلی می‌تواند همان باقی بماند. این تکنیک، Tld-squatting نام دارد. چنین جایگزینی‌ می‌تواند خیلی مؤثر باشد. همین اواخر گزارش شد که به مدت یک دهه کنتراکتورهای مختلف و نیز شرکای وزارت دفاع ایالات متحد آمریکا به اشتباه ایمیل هایشان را به جای دامنه .MIL (متعلق به ارتش آمریکا) به دامنه .ML که به ایمیل های جمهوری متعلق بود، می‌فرستادند. فقط در همین سال 2023 کنتراکتور هلندی بیش از 117 هزار ایمیل ناصحیح هدایت‌شده را رهگیری کرده که به جای وزارت دفاع به بخش مالی رفته بودند.

کلک تایپی: دامنه‌هایی با غلط املایی

آسان‌ترین و اولین روش برای تولید دامنه‌های همزاد، اکسپلویت کردن غلط املایی‌هایی است که راحت می‌شود درستشان کرد؛ اما تشخیص‌شان سخت است. برای این امر، مدل‌های مختلفی وجود دارد: افزودن یا حذف دوبله‌ها (ofice.com به جای office.com)، اضافه یا حذف علائم نگارشی (cloud-flare یا c.loudflare به جای cloudflare)، جایگزین کردن حروفی که صدای مشابه دارند (savebank به جای safebank) و غیره. غلط املایی ابتدا سلاح اسپمرها و کلاهبرداران تبلیغاتی بود، اما امروزه چنین ترفندهایی همراه با محتوای وبسایت فیک هستند و همین زمینه‌سازی برای اجرای حملات فیشینگ هدف‌دار و دستکاری ایمیل سازمانی (BEC) می باشد.

راهکارهای امنیتی

هوموگلیف‌ها را سخت‌تر از همه می‌شود تشخیص داد و هرگز هم برای مقاصد قانونی استفاده نمی‌شوند. در نتیجه، توسعه‌دهندگان مرورگر و تا حدی ثبت‌کنندگان دامنه در تلاشند با این حملات مبارزه کنند. در برخی مناطق ثبت دامنه (برای مثال ثبت نام‌هایی با حروفی از الفباهای مختلف) ممنوع است، اما در خیلی از TLDهای دیگر چنین محافظتی وجود ندارد، پس باید تماماً همه امیدها به ابزارهای امنیت باشد. بله حقیقت دارد که بسیاری از مرورگرها روش مخصوص نمایش نام دامنه را دارند؛ نام دامنه‌ای که شامل ترکیبی از الفباها می‌باشد. آنچه اتفاق می‌افتد این است که آن‌ها بازنمایی URL در punycode هستند، پس شبیه این است: xn--micrsoft-qbh.xn--cm-fmc (این سایت microsoft.com است با دو O روسی). بهترین دفاع در برابر غلط املایی و کلک ترکیبی، هوشیاری و دقت است. در این راستا توصیه می‌کنیم همه کارمندان برای یادگیری نحوه شناسایی تکنیک‌های فیشینگ تحت آموزش‌های پایه آگاهی امنیتی قرار گیرند. متأسفانه این امر خانه‌ مجرمان سایبری بزرگ است و هیچ‌جوره نمی‌شود آن‌ را به حملات شبیه به هم محدود کرد. مبارزه در مقابل حملاتی که با دقت اجرا می‌شوند و هدفشان یک شرکت خاص است، تنها هوشیاری کافی نیست. برای مثال آن سالی که مهاجمین سایت جعلی که شبیه‌سازی دروازه اینترانت Reddit بود را ساختند، آن حمله موفقیت‌آمیز پیش رفت. از این رو تیم‌های امنیت‌ اطلاعات باید نه تنها به فکر آموزش کارمندان خود باشند که همچنین باید از ابزارهای حیاتی محافظتی نیز استفاده کنند:

• محافظت ویژه از سرورهای میل در مقابل اسپم و فیشینگ هدف‌دار. برای مثال Kaspersky Security for Mail Server با استفاده از فناوری یادگیری ماشین و پایگاه‌های داده اسپم که در لحظه به روز می‌شوند ایمیل‌های مخرب را شناسایی می‌کند. این سیستم همچنین قادر است ایمیل‌های مشکوک را در سندباکس گیر انداخته یا قرنطینه‌شان کند.

• محافظت برای همه دستگاه‌های کارمندان- شامل اسمارت‌فون‌ها و کامپیوترهای شخصی استفاده‌شده برای کار. امنیت را به طور کلی بالا برده اما خصوصاً برای رهگیری لینک‌های مخرب و فایل‌هایی که نه از طریق میل که از طریق سایر کانال‌هایی مانند شبکه‌های اجتماعی مهم هستند.