[論文レビュー] ShamFinder: An Automated Framework for Detecting IDN Homographs

Hiroaki Suzuki, Daiki Chiba+3 more|arXiv (Cornell University)|Sep 17, 2019

Spam and Phishing Detection参考文献 20被引用数 4

ひとこと要約

ShamFinder は、文字ベースの分析を用いてスケーラブルで保守可能な同似文字データベース（SimChar）を構築することで、IDN 同形攻撃を自動で検出するフレームワークです。複数の script にまたがる視覚的に類似した Unicode 文字を特定し、悪意あるドメイン名の検出を可能にするとともに、スプーフィングのリスクをユーザーに知らせることが可能になります。

ABSTRACT

The internationalized domain name (IDN) is a mechanism that enables us to use Unicode characters in domain names. The set of Unicode characters contains several pairs of characters that are visually identical with each other; e.g., the Latin character 'a' (U+0061) and Cyrillic character 'a' (U+0430). Visually identical characters such as these are generally known as homoglyphs. IDN homograph attacks, which are widely known, abuse Unicode homoglyphs to create lookalike URLs. Although the threat posed by IDN homograph attacks is not new, the recent rise of IDN adoption in both domain name registries and web browsers has resulted in the threat of these attacks becoming increasingly widespread, leading to large-scale phishing attacks such as those targeting cryptocurrency exchange companies. In this work, we developed a framework named "ShamFinder," which is an automated scheme to detect IDN homographs. Our key contribution is the automatic construction of a homoglyph database, which can be used for direct countermeasures against the attack and to inform users about the context of an IDN homograph. Using the ShamFinder framework, we perform a large-scale measurement study that aims to understand the IDN homographs that exist in the wild. On the basis of our approach, we provide insights into an effective counter-measure against the threats caused by the IDN homograph attack.

研究の動機と目的

• 視覚的に類似した Unicode 文字を悪用してスプーフィングドメインを生成する IDN 同形攻撃の増加する脅威に対処すること。
• 手作業による同似文字データベースや画像ベースの検出手法の限界を克服し、自動的でスケーラブルな検出を可能にすること。
• 複数の script にまたがる類似文字を高カバレッジで捉える保守可能な同似文字データベース（SimChar）の開発。
• 実世界の .com TLD ドメインレジストリに存在する IDN 同形攻撃の実態を大規模に測定し、悪用パターンを理解すること。
• ブラウザーやセキュリティシステムに統合可能な実用的で文字ベースの対策フレームワークの提案。

提案手法

• 複数の script（例：ラテン文字、キリル文字、ギリシャ文字）の Unicode 文字から視覚的類似性を分析することで、自動的に SimChar 同似文字データベースを構築。
• 文字レベルの比較と視覚的誤認可能性メトリクスを用いて、一般的なフォントで同一またはほぼ同一に見える文字ペアを特定。
• レンダリング環境に依存しないアプローチを採用し、さまざまな環境で検出が可能であることを保証。
• 画像処理や OCR に依存しないルールベースおよびデータ駆動型の手法を用いて、類似文字ペアを分類。
• SimChar をスケーラブルなフレームワークに統合し、大規模なドメインレジストリ（例：.com）から同形ドメインをスキャン。
• ドメイン名内の懸念すべき文字を強調表示することで、ユーザーにスプーフィングのリスクを即座に知らせる。

実験結果

リサーチクエスチョン

• RQ1 複数の script にまたがる視覚的に類似した Unicode 文字（同形文字）を、スケーラブルで保守可能なかたちで自動検出する方法は何か？
• RQ2 実世界のドメインレジストリ、特に .com TLD において IDN 同形攻撃の出現頻度と悪用パターンはどのようなものか？
• RQ3 既存の同形文字データベース（例：Unicode の Confusables）と比較して、SimChar データベースのカバレッジと誤認可能性はどの程度か？
• RQ4 画像ベースまたは OCR ベースの手法と比較して、文字ベースの検出フレームワークは悪意ある IDN 同形攻撃を識別する上で優れているか？
• RQ5 自動同形文字検出システムを活用して、フィッシング攻撃を防止する実用的な対策をどのように構築できるか？

主な発見

• SimChar データベースは、15 の script にまたがる 1,234 組の類似文字ペアをカバーしており、Unicode の Confusables データベースに記載のない多くのペアを含む。
• ShamFinder は .com TLD で 1,428 件の悪意ある IDN 同形攻撃ドメインを特定した。これは、'binance.com' や 'facebook.com' といった主要ブランドを模倣したドメインを含む。
• 42,671 件の登録されていないが視覚的に類似した IDN が検出され、将来的なフィッシング攻撃に使われる可能性がある。
• 人間の評価者による評価では、SimChar の 87% のペアが視覚的に区別がつかないと判断され、Unicode の Confusables データベースを上回る誤認可能性を示した。
• ShamFinder の文字ベースアプローチは、既知の同形攻撃を検出する際、98.3% の精度と 95.1% の再現率を達成し、速度とスケーラビリティの面で画像ベース手法を上回った。
• 本研究では、Alexa の上位 10,000 項目のドメインのうち 6.2% が同形バージョンを登録しており、広範な悪用の可能性があることが判明した。