Tento obsah je přeložen strojově. Informace najdete na stránce Odmítnutí odpovědnosti za strojový překlad.

Can ADRA NDR devices detect and respond to Punycode phishing attacks?

Mohou zařízení ADRA NDR detekovat a reagovat na phishingové útoky Punycode?

Datum poslední úpravy: 2025-07-11

Applicable Products

ADRA NDR Appliances

Overview

To conduct Punycode phishing attacks, attackers register deceptive domain names by exploiting Internationalized Domain Names (IDNs) containing specific Unicode characters that visually resemble Latin letters. These fraudulent websites, visually mimicking legitimate websites, trick users into entering sensitive information, such as login credentials or banking details.

The key to the visual similarity is homoglyphs, which are Unicode characters from scripts like Armenian, Cyrillic, and Greek that look very similar to Latin letters. This visual similarity allows attackers to register domain names that closely resemble legitimate hostnames. For example, the homoglyphs Cyrillic lowercase "a" (U+0430) and the Latin lowercase "a" (U+0061) are visually indistinguishable to unsuspecting users. Attackers can present a link that seems to direct users to "apple.com", but actually sends them to a fake website registered with Punycode.

Punycode is an encoding system used to represent website addresses that contain non-ASCII characters, which are characters beyond the basic English alphabet, numbers, and symbols. This includes characters from languages like Chinese, Korean, and Thai. For example, "ชื่อของฉัน" ("my name") converts to Punycode as "xn--22ckgb2fvfb8ayc4k". The "xn--" prefix indicates to the web browser that the domain uses Punycode to represent Unicode characters.

Modern browsers, such as Apple Safari, Microsoft Edge, and Internet Explorer, prevent these homoglyph attacks by displaying Punycode URLs in their Unicode form (e.g., xn--80ak6aa92e.com). However, older browsers, such as Google Chrome 58 (stable) and Firefox versions earlier than 57, may automatically convert Punycode URLs containing different writing systems into ASCII characters, potentially hiding malicious website addresses.

Details

ADRA NDR devices can immediately detect potential phishing threats and homoglyph attacks that exploit IDNs containing Punycode. When such threats are detected, ADRA NDR sends a high-risk threat notification to network administrators, including details about the suspicious URL. Administrators can then verify if the URL is using a Punycode domain by examining its raw ASCII format.

Alternatively, network administrators can use a network firewall to perform URL filtering on every device on the network.

Použitelné produkty

Zařízení ADRA NDR

Přehled

K provádění phishingových útoků pomocí Punycode útočníci registrují klamné domény využívající internacionalizované názvy domén (IDN) obsahující specifické znaky Unicode, které vizuálně připomínají latinská písmena. Tyto podvodné webové stránky, které vizuálně napodobují legitimní weby, klamou uživatele, aby zadali citlivé informace, jako jsou přihlašovací údaje nebo bankovní detaily.

Klíčem k vizuální podobnosti jsou homoglyphy, což jsou znaky Unicode ze skriptů jako arménština, cyrilice a řečtina, které vypadají velmi podobně jako latinská písmena. Tato vizuální podobnost umožňuje útočníkům registrovat domény, které se blízce podobají legitimním hostitelům. Například homoglyphy cyrilické malé "a" (U+0430) a latinské malé "a" (U+0061) jsou pro nic netušící uživatele vizuálně nerozeznatelné. Útočníci mohou prezentovat odkaz, který se zdá směřovat uživatele na "apple.com", ale ve skutečnosti je přesměruje na falešný web registrovaný pomocí Punycode.

Punycode je systém kódování používaný k reprezentaci webových adres obsahujících ne-ASCII znaky, což jsou znaky mimo základní anglickou abecedu, čísla a symboly. To zahrnuje znaky z jazyků jako čínština, korejština a thajština. Například "ชื่อของฉัน" ("moje jméno") se převádí na Punycode jako "xn--22ckgb2fvfb8ayc4k". Prefix "xn--" naznačuje webovému prohlížeči, že doména používá Punycode k reprezentaci znaků Unicode.

Moderní prohlížeče, jako Apple Safari, Microsoft Edge a Internet Explorer, zabraňují těmto homoglyph útokům tím, že zobrazují Punycode URL ve své Unicode formě (např. xn--80ak6aa92e.com). Nicméně starší prohlížeče, jako Google Chrome 58 (stabilní) a Firefox verze starší než 57, mohou automaticky převádět Punycode URL obsahující různé systémy psaní na znaky ASCII, což může potenciálně skrývat adresy škodlivých webů.

Podrobnosti

Zařízení ADRA NDR mohou okamžitě detekovat potenciální phishingové hrozby a homoglyph útoky, které využívají IDN obsahující Punycode. Když jsou takové hrozby detekovány, ADRA NDR odešle oznámení o vysokém riziku hrozby do sítě správce, včetně podrobností o podezřelé URL. správce pak může ověřit, zda URL používá Punycode doménu tím, že zkoumá její surový formát ASCII.

Alternativně může síť správce použít síťový Brána firewall k provádění filtrování URL na každém zařízení v síti.