Nuevos Punycode abren oportunidades de typosquatting en los navegadores Chromium
Segu-Info · 13 oct, 14:30
Investigadores descubren que caracteres Punycode de idiomas como el kazajo y el mongol permiten eludir las protecciones de navegadores basados en Chromium, posibilitando ataques de typosquatting más sofisticados. Los atacantes pueden registrar dominios que parecen legítimos en Unicode pero que son claramente falsos en formato Punycode (xn--), permitiendo sitios de phishing más convincentes.
Ian Muscat y Leanne Briffa, de Have I Been Squatted, identificaron caracteres cirílicos e latinos que los navegadores Chromium (Chrome, Edge y similares) no bloquean adecuadamente. El carácter «ө» (cirílico, usado en kazajo, mongol y tártaro) y «ƙ» (K latina con gancho, del hausa) son visualmente muy similares a letras comunes como «e», «o», «i» y «k». Los investigadores registraron 20 dominios de demostración, incluyendo aррӏө[.]com, sрасөх[.]com, oƙta[.]com y niƙe[.]com, que al traducirse a Punycode se muestran como xn--80a6aa68c8d.com, xn--80a5aeq0fr0c.com, xn--ota-f6a.com y xn--nie-g6a.com respectivamente.
A diferencia de otros intentos de typosquatting basados en letras similares de ASCII (como macrosoft[.]com), estos ataques funcionan porque Chromium habilita constantemente nuevos caracteres Unicode para mejorar el soporte multiidioma. Aunque estas medidas benefician a hablantes de idiomas no latinos, crean oportunidades de abuso. Los sitios de demostración muestran cómo estos caracteres evaden controles de seguridad clave del navegador, permitiendo que URLs falsas se muestren de manera visual completamente legítima a los usuarios finales.
Puntos clave
- Caracteres cirílicos (ө) y latinos (ƙ) permiten eludir protecciones de Chromium
- Los dominios parecen legítimos en Unicode pero muestran xn-- (Punycode) al inspeccionarse
- 20 dominios de demostración registrados y accesibles en Have I Been Squatted
- Afecta navegadores basados en Chromium: Chrome, Edge y similares
- El soporte multiidioma facilita estos ataques al expandir caracteres permitidos