De cyberkriminelle finder hele tiden på nye taktikker til at narre deres mål og udnytter typografiske varianter og nye teknologier til at bygge overbevisende efterligninger af domæner. Når du gør dig bekendt med nogle af de almindelige strategier, kan du forberede dit team på den næste domæne-phishingsvindel, der kommer din vej.
Nedenfor finder du ti almindelige strategier til efterligning af domæner. At kende hver strategi giver dine efterretninger den indsigt, der skal til for at afsløre de digitale angribere. Til hvert punkt hører også en teknisk løsning, leveret af vores eksperter i anti-phishing.
1. Doppelgänger-domæner
Doppelgængere, altså uhyggeligt identiske tvillinger, optræder ofte i gyserfilm og spøgelseshistorier. Det samme gælder phishingsider, hvor doppelgänger-domæner ser identiske ud med et legitimt fully qualified domain name (FQDN). Efterlignerne mangler dog det afgørende punktum mellem host eller subdomæne og domæne og imiterer dermed et FQDN med ondsindede hensigter.
Eksempler for genericdomain.com
- www-genericdomain.com
- wwwgenericdomain.com
Løsning: Du kan stoppe doppelgængerne reaktivt eller proaktivt. Reaktive tilgange går ud på at bede registratorer eller andre myndigheder om at fjerne de mistænkelige domæner, mens proaktive virksomheder registrerer eller blokerer farlige domæner og subdomæner, før de falder i hænderne på en cyberkriminel.
2. IDN-spoofing
IDN står for Internationalized Domain Names, og ved den type angreb udnytter de cyberkriminelle internationale alfabeter til at narre deres mål. Da IDN’er understøtter bogstaver fra skriftsystemer som kyrillisk, græsk, arabisk og kinesisk, ser flere tegn fra forskellige alfabeter ud som dem i det engelske alfabet. Det omfatter ofte det græske alfa i stedet for det engelske a eller det kyrilliske je i stedet for dets engelske modstykke. Ved IDN-homoglyfangreb udskifter de cyberkriminelle bevidst tegn, der ligner hinanden, for at imitere legitime domæner.
Eksempler for genericdomain.com
- genericdօmain.com
- genericdomαin.com
Løsning: For at komme IDN-spooferne i forkøbet må du undersøge de visuelt mest forvirrende domæner i og omkring dit brand. Derefter kan du blokere eller registrere de aktiver, der ser sårbare ud over for et spoofingangreb.
3. Homografisk efterligning
I sprogvidenskaben kaldes par af tegn, der ligner hinanden, homografer. For eksempel forvirrer ligheden mellem det lille l og tallet 1 ofte læserne.
Det samme gælder det store O og tallet 0. Phishingangribere udnytter bevidst den forvirring i deres spoofingtaktikker omkring domæner.
Eksempler for genericdomain.com
- genericclomain.com
- Genericdonnain.com
Løsning: Sørg for at have overblik over alle ledige domæner med homografer, der kan forvirre din trafik online. Derefter kan du gennemgå dem og registrere aktiverne, hvis det er nødvendigt.
4. Typosquatting
Alle laver fejl, især når vi skriver eller taster i en fart. Efterligning gennem typosquatting udnytter fejlene og registrerer domæner omkring de almindelige tastefejl for de brands, de går efter. Varianterne bygger på tasternes placering i forhold til hinanden og på almindelige tastefejl på forskellige tastaturlayouts.
Eksempler for genericdomain.com
- genericdomian.com
- genericdimain.com
Løsning: Også her undersøger de proaktive virksomheder typisk de almindelige tastefejl omkring deres brand, enten med smarte løsninger som Corporate Domain Management, med manuel research eller med reaktive anmodninger om takedown.
5. TLD-squatting
Snedige kriminelle registrerer navne, der er identiske med det brand, de går efter, men på et andet topdomæne (TLD). Internettets forvaltningsorganer ICANN (Internet Corporation for Assigned Names and Numbers) og IANA (Internet Assigned Numbers Authority) har skabt over 1.500 topdomæner og efterlader dermed rigeligt med muligheder for, at angribere kan efterligne legitime brands. Phishingbander kan efterligne dit brand på landekoder som .SU (Sovjetunionen) eller generiske topdomæner som .zip og .xyz.
Eksempler for genericdomain.com
- genericdomain.cm
- genericdomain.co
- genericdomain.pk
Løsning: Som god praksis i en digital strategi bør virksomheder registrere domænerne for hvert land, de opererer i, og alle de steder, hvor de har varemærker. Du kan også registrere dit brands vigtigste gTLD (generisk topdomæne) og abonnere på blokeringslister som TMCH, DPML og Adult Block.
6. Combosquatting
Brands understøtter typisk deres kunder med en række forskellige digitale ressourcer og registrerer ofte domæner, der kombinerer firmanavnet med navnet på en service. De kombinationer åbner endnu en spoofingvektor for phishingangreb.
Combosquatting opstår, når phishingangribere laver varianter af målet, hvor et generisk ord som support eller et land optræder i domænenavnet.
Eksempler for genericdomain.com
- genericdomain.com
- genericdomain-france.com
- genericdomaingermany.com
Løsning: Gennemgå listen over de mest brugte ord i domænenavnerummet, og registrer navnet, hvis det er nødvendigt.
7. Levelsquatting
Dette enkle, men effektive angreb tager en eksisterende hjemmeside og registrerer den samme streng med et ekstra subdomæne. For det utrænede øje ser subdomænerne ud som legitime udvidelser, man godt kan betro sine loginoplysninger eller finansielle detaljer. En besøgende i en fart lægger måske slet ikke mærke til subdomænet og bliver offer for et ondsindet phishingangreb.
Eksempler for genericdomain.com
- genericdomain.com.shady-domain.net
Løsning: Virksomheder finder tekniske løsninger på levelsquatting ved at overvåge kilder som passiv DNS og SSL-certifikater.
8. Subdomain takeover
Cloudtjenester er en fordel for både virksomheder og deres brugere, men også her går angriberne efter subdomæner for at narre trafikken. Ved subdomain takeover bliver domænenavnet brugt i et subdomæne hos en cloudtjeneste til at skabe troværdige efterligninger.
Eksempler for genericdomain.com
- genericdomain.azurewebsites.net
- genericdomain.atlassian.com
- genericdomain.gitlab.com
- genericdomain.wix.com
Løsning: På samme måde kan virksomheder overvåge kilder som passiv DNS og SSL-certifikater for at opdage subdomain takeover.
9. Domain shadowing og efterligning af subdomæner
Ud over at angribe deres publikum direkte går phishingangribere også efter virksomhederne og deres domæneadministratorer. Når en kriminel hacker en domæneadministrators konto, kan han oprette flere subdomæner i domænet for at undgå at blive opdaget.
Eksempler for genericdomain.com
- suspicious.genericdomain.com
Løsning: At forsvare sig mod domain shadowing kræver robuste sikkerhedsforanstaltninger omkring domæner, blandt andet 2FA, IP-begrænsninger, fireøjneprincippet, aktivitetslogs og mere. Du kan læse mere om hver af de strategier, og hvordan du indfører dem i din virksomhed, i vores CTO’s tjekliste til cybersikkerhed omkring domæner.
10. Soundsquatting
Sidst, men ikke mindst, er det vigtigt også at anerkende de nye teknologier i kampen mod efterligning af domæner. De cyberkriminelle udnytter desuden smartenheder og stemmestyring og registrerer phishingdomæner, der lyder som deres mål og ikke kun ser ud som dem.
Brugen af homofoner giver dermed en phishingangriber mulighed for at narre besøgende, der ikke er fortrolige med skrevet engelsk, eller som læner sig på stemmeassistenter.
Eksempler for genericdomain.com
- jenericdomain.com
- generikdomain.com
- genericdomane.com
Løsning: At løse den sidste taktik kræver også research og manuelt arbejde eller hjælp fra eksperter i Corporate Domain Management. Robuste virksomheder må finde alle de lydligt mest forvirrende domæner, der imiterer deres brand. Når du har tjekket hvert lydligt match, kan du blokere phishingangreb ved at registrere domæner på tværs af de mulige efterligningsvektorer.
Konklusion
At forstå de almindelige strategier for phishing med domæner hjælper dig med at bygge en solid grundlæggende bevidsthed om de trusler, din virksomhed står over for. Men viden i det abstrakte bringer dig kun et stykke af vejen. Proaktive skridt som at træne dit team, opdage domænetrusler og fjerne efterligninger skaber et sikkert og produktivt landskab for dig selv og dine kunder.
