Googles neue TLDs .zip und .Mov wecken bei Experten Phishing-Befürchtungen

Wir alle kennen Websites, die Endungen wie .com, .net und .org haben. Diese Endungen werden Top-Level-Domains (TLDs) genannt, und laut der Internet Assigned Numbers Authority (IANA) gibt es fast 1.500 verschiedene TLDs, die von verschiedenen Registern verwaltet werden. Im Laufe der Jahre hat sich die Liste der TLDs mit Erweiterungen wie .xyz, .io, .ai und anderen erweitert.

Obwohl TLDs an sich harmlos sind, kombinieren Hacker und Betrüger oft Domänennamen und TLDs, um bösartige Websites und Links zu erstellen. So hält beispielsweise nichts einen Betrüger davon ab, einen Domänennamen wie "amazon12[.]net" zu kaufen und ihn zur Erstellung einer bösartigen Website oder von E-Mail-Adressen zu verwenden.

TLD-Missbrauch ist bei Phishing-Kampagnen weit verbreitet, bei denen eine E-Mail scheinbar von einer offiziellen E-Mail-Adresse stammt, in Wirklichkeit aber von einer gefälschten E-Mail-ID gesendet wird, zum Beispiel "order-update@amazon12[.]net". Diese Taktik funktioniert, denn wenn jemand den Namen einer vertrauenswürdigen Marke in einer URL oder E-Mail-Adresse sieht, ist er eher bereit, auf Links zu klicken, die zu bösartigen Websites und Dateien führen.

Neue TLD ".Zip" sorgt für Kontroversen bei Google

Im Mai 2023 kündigte Google Registry acht neue Top-Level-Domains an, nämlich .dad, .phd, .prof, .esq, .foo, .zip, .mov und .nexus. Cybersecurity-Experten kritisieren, dass zwei dieser TLDs - .zip und .mov - leicht von Hackern, Betrügern und Spammern ausgenutzt werden können.

Die Kritik rührt daher, dass .zip und .mov zwei der beliebtesten Dateierweiterungen für Computer sind. Dass TLDs mit Dateierweiterungen identisch sind, ist ein bestehendes Problem - .com ist auch ein ausführbares Dateiformat, die polnische Erweiterung .pl steht auch für Perl-Skripte und .sh steht sowohl für Saint Helena als auch für Unix-Shell-Skripte. Die Allgegenwart der Dateiformate .zip und .mov macht diese neuen TLDs jedoch viel gefährlicher.

.zip ist die Dateierweiterung für komprimierte Dateiarchive und .mov ist eine der häufigsten Erweiterungen für Videodateien. Diese Dateitypen sind häufig in E-Mail-Anhängen enthalten, und daher könnte ein Cyberkrimineller theoretisch eine .zip-Domäne mit demselben Namen wie ein häufig verwendeter Dateiname, z. B. "report.zip", kaufen und die Opfer per E-Mail auf eine Phishing-Website mit Malware leiten.

Die Gefahr wird noch größer, wenn Messaging-Plattformen und Social-Media-Sites Dateinamen mit den Erweiterungen .zip und .mov automatisch in URLs umwandeln. Im folgenden Beispiel von Twitter führt das Senden von Anweisungen zum Öffnen einer Zip-Datei und zum Zugriff auf eine MOV-Datei dazu, dass die Dateinamen in URLs umgewandelt werden.

Quelle: BleepingComputer

.Zip TLD wird bereits für Phishing-Köder verwendet

Netcraft untersuchte bestehende .zip TLD-Registrierungen und bestätigte, dass es bereits Hinweise auf betrügerische Aktivitäten gibt. Bei der Untersuchung wurden 5.000 registrierte Domains mit der Endung .zip entdeckt, und auf fünf dieser Domains wurden Phishing-Angriffeentdeckt, die sich als Marken wie Google, Microsoft und Okta ausgaben.

microsoft-office[.]zip zeigte zunächst "This is not a microsoft page" an, bevor sie eine Stunde später so verändert wurde, dass sie einer tatsächlichen Microsoft-Anmeldeseite ähnelte.

Anmeldungsfelder auf microsoft-office[.]zip (Quelle: Netcraft)

Es sind viele Domains registriert, bei denen es sich wahrscheinlich um bösgläubige Registrierungen handelt, darunter:

• Domains, die bekannte Markennamen enthalten
• Domains, die "Installer" oder "Update" erwähnen
• Domänen, die Banken namentlich erwähnen, z. B. bankofamericasecurities[.]zip
• URLs wie "attachment[.]zip" oder "video[.]mov", die plausibel in E-Mails eingefügt werden können, in denen das Opfer erwartet, eine Datei herunterzuladen, aber stattdessen mit der Domain verlinkt wird
  Domänen, die eine .zip-Datei enthielten oder auf diese umleiteten. In mindestens zwei Fällen handelte es sich um Zip-Bomben, die zur Deaktivierung von Antiviren-Software eingesetzt wurden.

Google reagierte auf die Bedenken bezüglich der .zip-Domain mit der folgenden Erklärung.

"Die Gefahr der Verwechslung von Domain-Namen und Dateinamen ist nicht neu: Die Command-Produkte von 3M verwenden beispielsweise den Domain-Namen command.com, der auch ein wichtiges Programm unter MS DOS und frühen Versionen von Windows ist. Anwendungen verfügen über Abhilfemaßnahmen (z. B. Google Safe Browsing), und diese Abhilfemaßnahmen werden auch für TLDs wie .zip gelten.

Gleichzeitig bieten neue Namensräume erweiterte Möglichkeiten für die Namensgebung wie community.zip und url.zip. Google nimmt Phishing und Malware ernst und Google Registry verfügt über bestehende Mechanismen, um bösartige Domains in allen unseren TLDs, einschließlich .zip, zu sperren oder zu entfernen. Wir werden die Nutzung von .zip und anderen TLDs weiterhin überwachen, und wenn neue Bedrohungen auftauchen, werden wir geeignete Maßnahmen zum Schutz der Nutzer ergreifen."

Obwohl es Forderungen an Google gab, diese neuen TLDs aufgrund von potenziellem Missbrauch zu widerrufen, sieht es so aus, als ob sie hier bleiben würden. Überprüfen Sie Links immer sorgfältig, bevor Sie sie anklicken, und vermeiden Sie es, auf Links in E-Mails und Textnachrichten zu klicken.