I nuovi domini di primo livello .Zip e .Mov di Google scatenano i timori degli esperti in materia di phishing

Tutti conosciamo i siti web che hanno suffissi come .com, .net e .org. Questi suffissi sono chiamati domini di primo livello (TLD) e, secondo l'Internet Assigned Numbers Authority (IANA), esistono quasi 1.500 TLD diversi gestiti da vari registri. Nel corso degli anni, l'elenco dei TLD si è ampliato con l'aggiunta di domini .xyz, .io, .ai e altri ancora.

Sebbene i domini di primo livello siano di per sé innocui, gli hacker e i truffatori spesso combinano nomi di dominio e domini di primo livello per creare siti web e link dannosi. Ad esempio, nulla impedisce a un truffatore di acquistare un nome di dominio come "amazon12[.]net" e di utilizzarlo per creare un sito web o indirizzi e-mail dannosi.

L'abuso di TLD è diffuso nelle campagnedi phishing, dove un'e-mail può sembrare provenire da un indirizzo e-mail ufficiale, ma in realtà è inviata da un ID e-mail imitativo, ad esempio "order-update@amazon12[.]net". Queste tattiche funzionano perché quando qualcuno vede il nome di un marchio affidabile in un URL o in un indirizzo e-mail, è più probabile che clicchi sui link che portano a siti web e file dannosi.

Il nuovo TLD '.Zip' scatena polemiche per Google

Nel maggio 2023, il Registro di Google ha annunciato 8 nuovi domini di primo livello, ovvero .dad, .phd, .prof, .esq, .foo, .zip, .mov e .nexus. Gli esperti di sicurezza informatica hanno sollevato critiche su due di questi domini di primo livello, .zip e .mov, perché facilmente sfruttabili da hacker, truffatori e spammer.

Le critiche derivano dal fatto che .Zip e .Mov sono due delle estensioni di formato di file più popolari per i computer. Il fatto che i domini di primo livello siano identici alle estensioni dei file è un problema già esistente: .com è anche un formato di file eseguibile, l'estensione polacca .pl rappresenta anche gli script Perl e .sh rappresenta sia gli script di Sant'Elena che quelli della shell Unix. Tuttavia, l'ubiquità dei formati di file .zip e .mov rende questi nuovi TLD molto più potenzialmente dannosi.

.Zip è l'estensione per gli archivi di file compressi e .Mov è una delle estensioni più comuni per i file video. Questi tipi di file sono spesso inclusi negli allegati di posta elettronica e quindi un criminale informatico potrebbe teoricamente acquistare un dominio .zip con lo stesso nome di un file comunemente usato, come "report.zip" e indirizzare le vittime via e-mail a un sito di phishing contenente malware.

La minaccia è amplificata quando le piattaforme di messaggistica e i siti di social media convertono automaticamente i nomi di file con estensioni .zip e .mov in URL. Nell'esempio seguente di Twitter, l'invio di istruzioni per l'apertura di un file zip e l'accesso a un file MOV porta alla conversione dei nomi dei file in URL.

Fonte: BleepingComputer

Il TLD .Zip viene già utilizzato per le esche di phishing

Netcraft ha indagato sulle registrazioni esistenti del TLD .Zip e ha confermato che esistono già prove di attività fraudolente. L'indagine ha portato alla luce 5.000 domini registrati che utilizzano .zip e sono stati scoperti attacchi di phishingsu cinque di questi domini che impersonano marchi come Google, Microsoft e Okta.

microsoft-office[.]zip inizialmente mostrava "Questa non è una pagina microsoft" prima di essere modificato per assomigliare a una vera pagina di accesso Microsoft un'ora dopo.

Pannelli di accesso visualizzati su microsoft-office[.]zip (Fonte: Netcraft)

Ci sono molti domini registrati che probabilmente sono registrazioni in malafede, tra cui:

• Domini contenenti nomi di marchi noti
• Domini che menzionano "installatore" o "aggiornamento".
• Domini che citano banche per nome, come bankofamericasecurities[.]zip
• URL come "attachment[.]zip" o "video[.]mov" che possono essere plausibilmente inclusi in messaggi di posta elettronica in cui la vittima si aspetta di scaricare un file, ma che invece vengono collegati al dominio
  Domini che contenevano o reindirizzavano a un file .zip. Almeno due erano bombe zip utilizzate per disabilitare il software antivirus.

Google ha risposto alle preoccupazioni relative al dominio .zip con la seguente dichiarazione.

"Il rischio di confusione tra nomi di dominio e nomi di file non è nuovo: ad esempio, i prodotti Command di 3M utilizzano il nome di dominio command.com, che è anche un programma importante su MS DOS e sulle prime versioni di Windows. Le applicazioni dispongono di mitigazioni (come Google Safe Browsing) e queste mitigazioni saranno valide anche per i TLD come .zip.

Allo stesso tempo, i nuovi spazi dei nomi offrono maggiori opportunità di denominazione, come community.zip e url.zip. Google prende sul serio il phishing e il malware e il Registro di Google dispone di meccanismi esistenti per sospendere o rimuovere i domini dannosi in tutti i nostri TLD, compreso .zip. Continueremo a monitorare l'utilizzo di .zip e di altri TLD e se emergeranno nuove minacce adotteremo le misure appropriate per proteggere gli utenti".

Sebbene sia stato chiesto a Google di revocare questi nuovi TLD a causa di potenziali abusi, sembra che siano qui per restare. Controllate sempre con attenzione i link prima di cliccarli ed evitate di cliccare sui link presenti nelle e-mail e nei messaggi di testo.