Magia SEO, Punycode i Google Ads, czyli fałszywa strona przeglądarki Brave

Jeśli korzystasz z wyszukiwarki Google, to z pewnością nieraz spotkałeś się z reklamami serwowanymi przez Google Ads:

Badaczka bezpieczeństwa Yan Zhu odkryła kampanię cyberprzestępców, którzy wykorzystują system reklamowy Google Ads do promowania fałszywej strony przeglądarki Brave:

Choć na pierwszy rzut oka fałszywa strona wygląda bliźniaczo podobnie do swojego prawdziwego odpowiednika, warto zwrócić uwagę na nazwę domeny – bravė.com (wyróżnione „ė” w przeglądarce nie różni się od zwykłej literki „e”).

W tym przypadku atakujący wykorzystali tzw. Punycode, czyli specjalne kodowanie, które jest wykorzystywane w celu konwersji Unicode na zestaw dozwolonych znaków w nazwie (tj.: litery ASCII, cyfry i myślniki). Domenę, która zawiera znaki spoza ASCII, nazywamy Internationalized Domain Name (IDM) – dzięki Punycode jesteśmy w stanie przedstawić jej nazwę w wersji obsługiwanej przez serwery DNS:

W przypadku fałszywej domeny bravė.com Punycode wyglądał następująco:

Celem przestępców było skłonienie ofiary do pobrania i uruchomienia złośliwego oprogramowania:

Warto dodać, że ci sami atakujący posiadają również domeny takie jak sīgnal.com czy teleģram.com, które są wykorzystywane do rozpowszechniania malware’a:

~ Jakub Bielaszewski