¿Los dispositivos NDR de la serie ADRA pueden detectar y responder a ataques de phishing de Punycode?

Productos aplicables

Dispositivos NDR de la serie ADRA

Información general

Para llevar a cabo ataques de phishing con Punycode, los atacantes registran nombres de dominio engañosos. Lo hacen explotando los Nombres de Dominio Internacionalizados (IDN) que contienen caracteres Unicode específicos, los cuales se parecen visualmente a las letras latinas. Estos sitios web fraudulentos, que imitan visualmente a los sitios legítimos, engañan a los usuarios para que introduzcan información sensible, como credenciales de inicio de sesión o datos bancarios.

La clave de la similitud visual son los homoglifos. Estos son caracteres Unicode de escrituras como el armenio, el cirílico y el griego que se parecen mucho a las letras latinas. Esta similitud visual permite a los atacantes registrar nombres de dominio que se parecen mucho a los nombres de host legítimos. Por ejemplo, los homoglifos de la letra "a" minúscula cirílica (U+0430) y la letra "a" minúscula latina (U+0061) son visualmente indistinguibles para los usuarios desprevenidos. Los atacantes pueden presentar un enlace que parece dirigir a los usuarios a "apple.com", pero que en realidad los envía a un sitio web falso registrado con Punycode.

Punycode es un sistema de codificación que se usa para representar direcciones de sitios web que contienen caracteres no ASCII, que son caracteres que van más allá del alfabeto inglés básico, los números y los símbolos. Esto incluye caracteres de idiomas como el chino, el coreano y el tailandés. Por ejemplo, "ชื่อของฉัน" ("mi nombre") se convierte a Punycode como "xn--22ckgb2fvfb8ayc4k". El prefijo "xn--" indica al navegador web que el dominio utiliza Punycode para representar caracteres Unicode.

Los navegadores modernos, como Apple Safari, Microsoft Edge e Internet Explorer, evitan estos ataques de homoglifos mostrando las URL de Punycode en su forma Unicode (por ejemplo, xn--80ak6aa92e.com). Sin embargo, los navegadores más antiguos, como Google Chrome 58 (estable) y las versiones de Firefox anteriores a la 57, pueden convertir automáticamente las URL de Punycode que contienen diferentes sistemas de escritura a caracteres ASCII, lo que podría ocultar direcciones de sitios web maliciosos.

Detalles

Los dispositivos ADRA NDR pueden detectar de inmediato posibles amenazas de phishing y ataques de homoglifos que explotan los IDN que contienen Punycode. Cuando se detectan dichas amenazas, ADRA NDR envía una notificación de amenaza de alto riesgo a los administradores de red, que incluye detalles sobre la URL sospechosa. Los administradores pueden verificar si la URL está utilizando un dominio Punycode examinando su formato ASCII sin procesar.

Alternativamente, los administradores de red pueden usar un cortafuegos de red para realizar el filtrado de URL en cada dispositivo de la red.

Lecturas adicionales

• Para más detalles sobre Punycode, consulta Wikipedia.
• ¿Qué debo hacer si ADRA NDR detecta actividades de alto riesgo?
• ¿Pueden los dispositivos NDR de la serie ADRA detectar y responder a los exploits EternalBlue?