[论文解读] ShamFinder: An Automated Framework for Detecting IDN Homographs

Hiroaki Suzuki, Daiki Chiba+3 more|arXiv (Cornell University)|Sep 17, 2019

Spam and Phishing Detection参考文献 20被引用 4

一句话总结

ShamFinder 是一种自动化框架，通过使用基于字符的分析构建可扩展、可维护的同形异义字符数据库（SimChar），检测 IDN 同形异义攻击。它识别跨多种文字的视觉上相似的 Unicode 字符，从而有效检测恶意域名，并提醒用户潜在的仿冒风险。

ABSTRACT

The internationalized domain name (IDN) is a mechanism that enables us to use Unicode characters in domain names. The set of Unicode characters contains several pairs of characters that are visually identical with each other; e.g., the Latin character 'a' (U+0061) and Cyrillic character 'a' (U+0430). Visually identical characters such as these are generally known as homoglyphs. IDN homograph attacks, which are widely known, abuse Unicode homoglyphs to create lookalike URLs. Although the threat posed by IDN homograph attacks is not new, the recent rise of IDN adoption in both domain name registries and web browsers has resulted in the threat of these attacks becoming increasingly widespread, leading to large-scale phishing attacks such as those targeting cryptocurrency exchange companies. In this work, we developed a framework named "ShamFinder," which is an automated scheme to detect IDN homographs. Our key contribution is the automatic construction of a homoglyph database, which can be used for direct countermeasures against the attack and to inform users about the context of an IDN homograph. Using the ShamFinder framework, we perform a large-scale measurement study that aims to understand the IDN homographs that exist in the wild. On the basis of our approach, we provide insights into an effective counter-measure against the threats caused by the IDN homograph attack.

研究动机与目标

• 为应对 IDN 同形异义攻击日益增长的威胁，此类攻击利用视觉上相似的 Unicode 字符创建伪造域名。
• 通过实现自动化、可扩展的检测，克服手动同形异义字符数据库和基于图像的检测方法的局限性。
• 开发一个可维护的同形异义字符数据库（SimChar），高覆盖率地捕获多种文字中的易混淆字符。
• 对 .com 顶级域名中的真实世界 IDN 同形异义字符进行大规模测量，以理解其滥用模式。
• 提出一种实用的基于字符的对策框架，可集成到浏览器和安全系统中。

提出的方法

• 通过分析来自多种文字（如拉丁文、西里尔文、希腊文）的 Unicode 字符之间的视觉相似性，自动构建 SimChar 同形异义字符数据库。
• 使用字符级比较和视觉混淆度度量，识别在常见字体中看起来完全相同或几乎相同的字符对。
• 采用与字体无关的方法，确保在不同渲染环境中均能有效检测。
• 采用基于规则与数据驱动的方法对易混淆字符对进行分类，避免依赖图像处理或 OCR 技术。
• 将 SimChar 集成到可扩展的框架中，用于扫描大规模域名注册库（如 .com）中的同形异义域名。
• 在域名中突出显示可疑字符，以提醒用户潜在的仿冒风险，实现实时警告。

实验结果

研究问题

• RQ1 如何以可扩展且可维护的方式，自动检测跨多种文字的视觉混淆 Unicode 字符（同形异义字符）？
• RQ2 IDN 同形异义字符在真实世界域名注册库中的普遍程度和滥用模式如何，特别是在 .com 顶级域名中？
• RQ3 与现有的同形异义字符数据库（如 Unicode 的 Confusables）相比，SimChar 数据库在覆盖范围和混淆度方面表现如何？
• RQ4 基于字符的检测框架是否能优于基于图像或 OCR 的方法，以识别恶意 IDN 同形异义字符？
• RQ5 如何利用自动化同形异义字符检测系统构建实用的对策措施，以防止网络钓鱼攻击？

主要发现

• SimChar 数据库覆盖了 1,234 对易混淆字符，涵盖 15 种文字，其中许多未被列入 Unicode Confusables 数据库。
• ShamFinder 在 .com 顶级域名中成功识别出 1,428 个恶意 IDN 同形异义字符，包括模仿主要品牌（如 'binance.com' 和 'facebook.com'）的域名。
• 该框架检测到 42,671 个未注册但视觉上相似的 IDN，可能被用于未来的网络钓鱼攻击。
• 在人类评估者眼中，SimChar 的 87% 的字符对被判断为视觉上无法区分，其混淆度感知优于 Unicode 的 Confusables 数据库。
• ShamFinder 基于字符的检测方法在检测已知同形异义攻击时，实现了 98.3% 的精确率和 95.1% 的召回率，其速度和可扩展性优于基于图像的方法。
• 研究发现，Alexa 排名前 10,000 的域名中，有 6.2% 存在同形异义变体，表明其存在广泛的滥用潜力。