Inhaltsverzeichnis
Der Homograph Phishing Attack ist zurück und kann nicht erkannt werden
Es gibt Nachrichten von einem chinesischen Informationsforscher, der Berichten zufolge die Anfälligkeit von Webbrowsern für einen bestimmten Phishing-Betrug wiederentdeckt hat, der selbst die vorsichtigsten Benutzer überraschen kann. Der Forscher hat bestätigt, dass die Sicherheitsanfälligkeit in den meisten Versionen von Firefox-, Opera- und Chrome-Browsern absolut unmöglich zu verfolgen ist. Im Ernst, es ist auch ziemlich unmöglich, den Trick auf den mobilen Versionen dieser Browser zu verfolgen.
Legitim aussehende Domains könnten gefälscht sein
Die größte Gaffe, die durch den Homograph-Angelangriff verursacht wird, besteht darin, absolut gefälschte Domain-Namen zu fälschen und sie den exakten Nachbildungen von Diensten wie Apple, Google oder Amazon ähneln zu lassen. Die meisten Benutzer können den Grund nicht angeben, warum eine legitime Domain eine unheimliche Fehlermeldung anzeigt. Dabei liefern sie möglicherweise vertrauliche Anmeldeinformationen für Anmelde- und Finanzkonten.
Dies kann besonders anstößig sein, wenn der Angriff vertrauliche Daten stehlen soll oder Benutzer auffordert, ihre Anmeldeinformationen erneut zu bestätigen, bevor sie fortfahren.
Schauen Sie sich diese Beispiel-Fake-Website an
Man könnte sagen, es ist fast unmöglich, die Website zu schlagen apple.com und doch nicht auf Apples Website sein. Dies ist jedoch genau das, was der Forscher darin negiert hat Demo-Seite Hier. Es kann auch zu leichten Ausfallzeiten kommen, da gerade viele Leute auf der Seite nachschlagen (hoffentlich auch einige bei Apple).
Die gefälschte Apple-Website

Echte Apple Website
Der Entdecker des Angriffs Xudong Pengm hat a geschrieben ausführlicher Blog auf demselben. Er sagt:
"Für reguläre Benutzer ist es fast unmöglich zu sagen, dass die Site betrügerisch (oder zumindest nicht authentisch) ist, ohne die URL der Site oder ihr SSL-Zertifikat sehr sorgfältig nachzuschlagen."
Wenn in Ihrem Browserfeld die Wörter "apple.com" angezeigt werden und stattdessen anstelle der ursprünglichen Website die Fehlermeldung angezeigt wird, ist Ihr Webbrowser sicher für den schelmischen Homographenangriff anfällig.
Auf einer anderen Website Beispiel für eine Forschungswebsite, Wordfence hat den Domainnamen erfolgreich verspottet “epic.com”Durch die Verwendung eines komplexen Nomenklatursystems beim Kauf der Domain.

Der Angriff ist an sich schon ziemlich alt
Die ersten Berichte über Homograph-Angriffe stammen aus dem Jahr 2001. Die meisten Browser hatten jedoch Schwierigkeiten, den Angriff selbst zu beheben. Es ist ein total gefälschter Angriff, bei dem Forscher / Hacker die Wörter des englischen Alphabets durch Unicode-Zeichen ersetzen.
Unabhängig davon, wie vorsichtig Sie mit solchen Angriffen umgehen, ist es fast unmöglich, den Fehler zu erkennen.
Domains werden mit Unicode-Zeichen gekauft
Es gibt viele Unicode-Zeichen, die Buchstaben verschiedener Sprachen darstellen, einschließlich Kyrillisch, Griechisch und Armenisch in Domänen, die zur Vereinfachung internationalisiert sind. Auf den ersten Blick sehen diese Buchstaben genauso aus wie lateinische Buchstaben. Sie werden jedoch von einigen Browsern unterschiedlich behandelt und zeigen im Browserfeld völlig unterschiedliche Namen an.
Punycode-Angriffe
Viele moderne Webbrowser nutzen „Punycode. ” Es handelt sich um eine spezielle Art der Codierung durch Webbrowser, mit deren Hilfe Unicode-Zeichen in die begrenzten Zeichensätze konvertiert werden können, die ASCII darstellen. Dies ist der akzeptierte Satz von Variationen, die vom Mechanismus für internationale Domänennamen oder IDNs unterstützt werden.
Zheng gibt an, dass für den Fall, dass jemand bei der Registrierung der Domain alle Zeichen aus derselben Fremdsprache auswählt, die Lücke der Browser diese in den Ziel-Domainnamen konvertiert, anstatt das Punycode-Format zu rendern.
xn--80ak6aa92e.com entspricht Apple.com, wenn es von Browsern konvertiert wird
Mit der gleichen Lücke in den Browsern registrierte Zheng eine Domain als xn--80ak6aa92e.com. In den meisten Browsern wird der Schutz schnell umgangen und als angezeigt apple.com. Dies umfasst Chrome, Firefox und Opera. Interessanterweise haben Internet Explorer, Apple Safari, Vivaldi, Microsoft Edge und Brave jedoch keine Anfälligkeit für diese Art von Angriff gezeigt.
Es ist bemerkenswert, dass die xn-- Präfix bezieht sich ASCII-Kompatibilitätscodierung Präfix. Dies teilt Webbrowsern mit, dass die Domain eine Punycode-Codierung enthält.
Anstelle des ASCII „a“ (U + 0041) verwendet Zheng das kyrillische „a“ (U + 0430). In diesem Fall umgeht dieser einfache Ersatz den Browserschutz.
Zheng hat Kontakt zu den zugehörigen Browsern aufgenommen und Google und Mozilla im Januar informiert.
Sie versuchen Korrekturen
Im Moment versucht Mozilla verschiedene Methoden, um einen Fix zu generieren. Google hat diese Sicherheitsanfälligkeit jedoch bereits in seiner experimentellen Version von Chrome Canary (59) erfolgreich behoben. Sie haben versprochen, dass mit der Stable 58-Version von Google Chrome ein dauerhafter Fix eingeführt wird. Der Stable 58 soll noch in diesem Jahr auf den Markt kommen.
In der Zwischenzeit gibt es Millionen von Benutzern, die (unwissentlich) Punycode in ihren Browsern verwenden. Es wird dringend empfohlen, die Punycode-Unterstützung in ihren Browsern für eine Weile zu deaktivieren, um diesen fast nicht nachvollziehbaren Angriff verteidigen zu können.
Abwehr von Phishing-Angriffen
Um die vorübergehende Schadensbegrenzung manuell zu verwenden, können Firefox-Benutzer diese einfache Methode verwenden:
- Schlagen about: config im Adressfeld des Browsers
- Suche mit Punycode
- Suchen Sie den Titel network.IDN_show_punycode und Rechtsklick; verwenden Umschalten und ändern Sie die Einstellung auf Wahr von False. (Siehe Bild unten)

Zum Entsetzen mehrerer Benutzer gibt es keine ähnliche verfügbare Einstellung, die für Chrome oder Opera funktioniert und den Punycode manuell deaktiviert. Chrome-Nutzer müssen geduldig sein und auf die Stable 58-Version von Chrome warten, die in wenigen Wochen herauskommt.
Momentan gibt es einige Browser-Add-Ons, mit denen nicht-technische Benutzer jedes Mal benachrichtigt werden können, wenn ein Domain-Name Unicode-Zeichen enthält.
Verwenden Sie gute Passwort-Manager
Eine gute Möglichkeit, solche Phishing-Angriffe zu umgehen, besteht darin, eine wirklich gute zu verwenden Passwortmanager. Sie speichern alle Ihre Anmeldeinformationen und identifizieren automatisch die tatsächlichen und authentischen URLs, mit denen sie verknüpft sind.
Das erste Anzeichen einer Warnung wäre also, dass der Kennwortmanager Sie nicht zu einem gespeicherten Kennwort im Anmeldefeld auffordert.
Fix für nicht technische Chrome-Nutzer
Es gibt eine weitere einfache Möglichkeit, dem Spiel einen Schritt voraus zu sein, wenn Sie Schwierigkeiten haben, mit Einstellungen zu spielen oder Add-Ons zu installieren. Hier sind die Schritte:
- Kopieren Sie immer die URL und klicken Sie niemals auf (Tab in neuem Browser öffnen)
- Fügen Sie die URL in die Adressleiste ein und drücken Sie nicht die Eingabetaste
- Die tatsächliche URL wird im Unicode-Format angezeigt
Außerdem ist es immer sicherer, mit dem manuellen Kopieren von Adressen zu beginnen, als nur durch sie zu klicken.
Phishing-Attacke ist heutzutage sehr veraltet!
I cant thank you enough for sharing this insightful post! 😊
This was such a well-written and informative article – thank you!
Thanks for sharing such valuable information with us in your post.
Do you suspect your spouse of cheating, are you being overly paranoid or seeing signs of infidelity…Then he sure is cheating: I was in that exact same position when I met Henry through my best friend James who helped me hack into my boyfriend’s phone, it was like a miracle when he helped me clone my boyfriend’s phone and I got first-hand information from his phone. Now I get all his incoming and outgoing text messages, emails, call logs, web browsing history, photos and videos, instant messengers(facebook, whatsapp, bbm, IG etc) , GPS locations, phone taps to get live transmissions on all phone conversations. if you need help contact his gmail on , [email protected], and you can also text, call him, whatsappn on +1(201)4305865, or +1(773)6092741…
Hire a hacker to spy cell phone with a certified job may seem like a good idea, But is not easy as you mint think. Hacking into someone’s cell phone without them knowing is very difficult and require ethical service, mostly if you want to get into the user cellphone device to gain access to sensitive information and change settings, Then get a professional hacker will help you out contact [email protected]. if you looking a way to know how to spy on a cell phone without touch the target devices., he able to get it done. Thanks kelvin.
Alter, ich brauche deine Hilfe
Have you ever wondered if your spouse is cheating on you? As my spouse has always been a big time cheat, we have been married for 15 years now and i always suspect him but i wasn’t sure yet so i came in contact with this hacker Fred who i emailed to hack into his phone and he brought me results in 6hours time and i had access to my husband phone i always seeing his text messages, call logs, whats-app, emails, Facebook, deleted text messages and many more without touching my husband phone or him knowing about the hack then i got to see that he has a child outside without telling me i was in pains but thank God for this great hacker for his wonderful help…i must recommend this hacker as a very best professional you can contact him via gmail :fredv[email protected] and you can text,call him on +15177981808
MY wife is a very smart woman but i showed her that in every thing a man is always a man well i suspected she was hiding a lot from me, she has a mac-book pro she uses and also a Samsung phone i noticed she was cheating on me so i had to hack her phone but i found out that nothing was on her phone so i also hacked into her mac-book. i could not believe all that i saw on her laptop she has all her major text messages on her mac-book, she uses whats-app on her laptop also i found out that she was in a relationship with my friend who i call my brother i had full access to her mac-book and also read all there messages and so many they always hang out at a hotel on Sundays.. All I saw was too much for me to keep to myself. and also a very big thank you to the hacker that made it possible to be an ethical hacker. contact him on [email protected] and you can text,call him on +15177981808
The truly scary thing about undiscovered lies is that they have a greater capacity to diminish us than exposed ones. When people cheat in any arena, they diminish themselves-they threaten their own self-esteem and their relationships with others by undermining the trust they have in their ability to succeed and in their ability to be true. Cheating is the most disrespectful thing one human being can do to another. If you aren’t happy in a relationship, end it before starting another one. respect a person who is loyal in a relationship, by cheating on him or her. If you succeed in cheating on someone, don’t think that the person is a fool, realize that the person trusted you much more than you deserve. If you notice any suspicious act on your partner if he or she is cheating. You need to write MR FRED to help you remotely spoof on the target phone to retrieve text messages, call logs, social media activities, bank information and many more. They deliver the best services and get you the peace of mind you deserve. Email: [email protected] and you can text,call him on +15177981808 Best wishes…
I’m excited to write about [email protected] he is a great and brilliant hacker who penetrated my spouse’s phone without a physical installation app. And I was able to access my spouse’s phone, SMS, Whatsapp, Instagram, Facebook, Wechat, Snapchat, Call Logs, Kik, Twitter and all social media. The most amazing thing there is that he restores all phone deleted text messages. And I also have access to everything including the phone gallery without touching the phone.I can see the whole secret of my spouse. Contact him for any hacking service. He is also a genius in repairing Credit Score, increasing school grade, Clear Criminal Record etc. His service is fast. Contact on: gmail and you can text or whatsapp him on +1 (602) 562‑6646