V návaznosti na nedávný bezpečnostní incident spojený s podvrženou doménou lrozhlas.cz jsme vyvinuli automatizovaný Bash skript SquatReveal pro průběžné odhalování typosquattingu a phishingových domén. Kauza ukázala, jak snadno lze využít vizuální záměny znaků (v tomto případě zaměnění malého písmena „i“ za malé „l“) k předstírání oficiálních zpravodajských webů.
Náš skript staví na osvědčeném open-source nástroji dnstwist a přináší kompletní automatizaci monitoringového procesu:
- Pravidelná kontrola: Skript v denním intervalu (prostřednictvím plánovače cron) generuje kompletní spektrum možných variací zadaných domén — od překlepů a zaměněných znaků až po homoglyfy a kombinace s jinými TLD.
- Vizuální analýza (pHash): K detekci podvrhů nevyužívá pouze DNS záznamy, ale také percepční hashing (phash). Pomocí headless prohlížeče porovnává vizuální podobu vykreslené stránky s originálem. Pokud útočník vytvoří věrnou kopii webu 1:1, skript ji okamžitě identifikuje na základě shody designu.
- Diferenční hlídání (Diffing): Výstupy jsou zpracovávány ve strukturovaném JSON formátu. Skript porovnává aktuální stav s předchozím dnem a upozorňuje výhradně na nově registrované nebo aktivované podvržené domény.
- Okamžité varování: V případě zjištění nové aktivní domény s vysokou vizuální shodou či nastavenými MX záznamy (riziko e-mailového phishingu) skript vygeneruje diff report pro bezpečnostní tým.
Projekt je v počáteční fázi a skript se bude i nadále vyvíjet a zdokonalovat. V nejbližší aktualizaci se zaměříme zejména na pokročilejší detekci a vyhodnocování aktivních MX serverů. Útočníci totiž podvržené domény často nevyužívají k provozu webových stránek, ale výhradně k cíleným e-mailovým podvodům (spear-phishingu). Automatické zachytávání poštovních serverů tak umožní včas varovat před začínajícími e-mailovými kampaněmi.
Tímto krokem posilujeme naši schopnost proaktivně reagovat na phishingové kampaně v jejich zárodku — ještě dříve, než mohou být podvržené domény zneužity ke klamání veřejnosti nebo sběru citlivých dat.
Blog Evropského rozhledu provozuje pro odbornou veřejnost skrytou sekci OSINT analýz, více v článku Hledáme analytiky a odbornou veřejnost. Otevíráme skrytou OSINT sekci.
