Google's nieuwe TLD's .Zip en .Mov doen vrezen voor phishing door experts

We zijn allemaal bekend met websites die achtervoegsels hebben zoals .com, .net en .org. Deze suffixen worden topleveldomeinen (TLD's) genoemd en volgens de Internet Assigned Numbers Authority (IANA) zijn er bijna 1500 verschillende TLD's die door verschillende registers worden beheerd. In de loop der jaren is de lijst met TLD's uitgebreid met toevoegingen als .xyz, .io, .ai en meer.

Hoewel TLD's op zichzelf onschadelijk zijn, combineren hackers en scammers vaak domeinnamen en TLD's om schadelijke websites en links te maken. Niets weerhoudt een oplichter er bijvoorbeeld van om een domeinnaam als 'amazon12[.]net' te kopen en deze te gebruiken om een schadelijke website of e-mailadressen te maken.

TLD-misbruik komt veel voor bij phishing-campagnes waarbij een e-mail afkomstig lijkt te zijn van een officieel e-mailadres, maar in werkelijkheid wordt verzonden vanaf een namaak-e-mail-ID, bijvoorbeeld 'order-update@amazon12[.]net'. Deze tactieken werken omdat wanneer iemand de naam van een vertrouwd merk in een URL of e-mailadres ziet, hij eerder geneigd is om op links te klikken die naar schadelijke websites en bestanden leiden.

Nieuw ".Zip"-TLD zorgt voor controverse bij Google

In mei 2023 kondigde Google Registry 8 nieuwe topleveldomeinen aan, namelijk .dad, .phd, .prof, .esq, .foo, .zip, .mov en .nexus. Experts op het gebied van cyberbeveiliging hebben kritiek geuit op twee van deze TLD's - .zip en .mov - omdat ze gemakkelijk kunnen worden misbruikt door hackers, scammers en spammers.

De kritiek komt voort uit het feit dat .Zip en .Mov twee van de populairste extensies voor computerbestanden zijn. Dat TLD's identiek zijn aan bestandsextensies is een bestaand probleem - .com is ook een uitvoerbaar bestandsformaat, de Poolse extensie .pl staat ook voor Perl-scripts en .sh staat voor zowel Sint-Helena als Unix shellscripts. De alomtegenwoordigheid van .zip- en .mov-bestandsindelingen maakt deze nieuwe TLD's echter veel schadelijker.

.Zip is de bestandsextensie voor gecomprimeerde bestandsarchieven en .Mov is een van de meest voorkomende videobestandsextensies. Deze bestandstypen worden vaak opgenomen in e-mailbijlagen en daarom kan een cybercrimineel in theorie een .zip-domein kopen met dezelfde naam als een veelgebruikte bestandsnaam, zoals "report.zip" en slachtoffers via e-mail naar een phishingsite met malware leiden.

De dreiging wordt nog groter wanneer berichtenplatforms en sociale mediasites bestandsnamen met .zip- en .mov-extensies automatisch omzetten in URL's. In het onderstaande voorbeeld van Twitter leidt het sturen van instructies over het openen van een zipbestand en het openen van een MOV-bestand ertoe dat de bestandsnamen worden omgezet in URL's.

Bron: BleepingComputer

.Zip TLD wordt al gebruikt voor phishing-acties

Netcraft onderzocht bestaande .Zip TLD-registraties en bevestigde dat er al bewijs is van frauduleuze activiteiten. Het onderzoek bracht 5.000 geregistreerde domeinen met .zip aan het licht en er werden phishing-aanvallenontdekt op vijf van deze domeinen die zich voordeden als merken zoals Google, Microsoft en Okta.

microsoft-office[.]zip toonde aanvankelijk 'This is not a microsoft page' voordat het een uur later werd gewijzigd om op een echte Microsoft-aanmeldingspagina te lijken.

Inlogpanelen weergegeven op microsoft-office[.]zip (Bron: Netcraft)

Er zijn veel domeinen geregistreerd die waarschijnlijk te kwader trouw zijn, waaronder:

• Domeinen met bekende merknamen
• Domeinen die 'installer' of 'update' vermelden
• Domeinen die banken bij naam noemen, zoals bankofamericasecurities[.]zip
• URL's zoals 'attachment[.]zip' of 'video[.]mov' die plausibel kunnen worden opgenomen in e-mails waarin het slachtoffer verwacht een bestand te downloaden, maar in plaats daarvan wordt doorgelinkt naar het domein
  Domeinen die een .zip-bestand bevatten of ernaar doorverwezen. Ten minste twee waren zip-bommen die werden gebruikt om antivirussoftware uit te schakelen.

Google reageerde op de bezorgdheid over het .zip-domein met de volgende verklaring.

"Het risico van verwarring tussen domeinnamen en bestandsnamen is niet nieuw. De Command-producten van 3M gebruiken bijvoorbeeld de domeinnaam command.com, wat ook een belangrijk programma is op MS DOS en vroege versies van Windows. Toepassingen hebben hier mitigaties voor (zoals Google Safe Browsing) en deze mitigaties zullen ook gelden voor TLD's zoals .zip.

Tegelijkertijd bieden nieuwe naamruimten uitgebreide mogelijkheden voor naamgeving, zoals community.zip en url.zip. Google neemt phishing en malware serieus en Google Registry heeft bestaande mechanismen om schadelijke domeinen in al onze TLD's, waaronder .zip, op te schorten of te verwijderen. We zullen het gebruik van .zip en andere TLD's in de gaten blijven houden en als er nieuwe bedreigingen opduiken, zullen we passende maatregelen nemen om gebruikers te beschermen."

Hoewel er bij Google stemmen opgingen om deze nieuwe TLD's in te trekken vanwege mogelijk misbruik, lijkt het erop dat ze blijven bestaan. Controleer links altijd zorgvuldig voordat je erop klikt en klik niet op links in e-mails en tekstberichten.