File Extension Spoofing mit Right to Left override oder .pif So fälscht Unicode Erweiterungen und URLs

Am Aschermittwoch ist... die Maskerade noch lange nicht vorbei: Schon hinter dem Bild einer Hexe.png könnte im Windows File Explorer eine ausführbare Datei lauern, die von Cyberschurken per Unicode-Zeichen „Right to Left override“ getarnt wurde. Ähnlich tückisch sind Spoofing-Attacken auf URLs oder missbräuchlich genutzte Dateierweiterungen.

Hinter Hexe.png kann ein Foto vom Fastnachtsumzug stecken – oder geschickt getarnter Schadcode in einer ausführbaren Datei. Unicode machts möglich: An Texte vorangestellt kehrt das Zeichen [U+202E] die Schreibrichtung um (Rechts-nach-links-Schreibrichtung erzwingen). Das bedeutet: Statt 'abcdef' wird beispielsweise 'fedcba' angezeigt. Das ist zwar praktisch, um linksläufige Sprachen wie Arabisch oder Hebräisch auf dem Monitor darzustellen. Cyberschurken können das genannte Symbol allerdings auch kreativ einsetzen und Dateierweiterungen verschleiern.

Hexentanz rückwärts

Aus 'h','[U+202E]' und 'gnp.exe' wird so im Handumdrehen eine 'hexe.png'. Wer es ausprobieren mag: Das Sonderzeichen ist über die Zeichentabelle verfügbar. Mit entsprechenden Tools ließe sich die Datei um ein unverfänglich wirkendes Icon erweitern, das die Mimikry weiter verfeinert. Zumindest im Windows File Explorer. Auf der Kommandozeile fliegt das Verwirrspiel dagegen rasch auf: Statt einer umgekehrten Schreibrichtung gibt es hier nur ein Rechteck als Platzhalter zwischen den Lettern 'h' und 'e' zu sehen. Aber auch aufmerksame GUI-Nutzer können die Tarnung aufdecken: Trotz aller Verschleierung zeigt Windows im graphischen Dateimanager den korrekten Dateityp „Anwendung“ an.

DOS-Altlasten mit Tarnumhang

Die genannte Spalte erweist sich zudem als ausgesprochen hilfreich, wenn es um andere boshaft gebrauchte Dateierweiterungen geht. Unser Testrechner mit Windows 10 verbarg etwa selbst dann die Extension „.pif“, wenn wir die Option „Erweiterungen bei bekannten Dateitypen ausblenden“ abgewählt hatten. Somit konnten wir eine 'write.exe' zum „Program Information File“ machen. Die in 'readme.txt.pif' umbenannte Datei tauchte lediglich als 'readme.txt' im File Explorer auf. Verräterisch waren hier allerdings der Typ "Verknüpfung mit MS-DOS Programm" sowie das für Verweise typische Icon mit Pfeilsymbol; in der Kommandozeile wurde überdies der vollständige Dateiname angezeigt.

Unicode-Tricks bei URLs

Zurück zu Unicode: Damit mögliche Manipulationen sind weder auf Windows beschränkt, noch wirklich neu. „The Unicode Consortium“ selbst thematisierte 2014 in einem Technical Report verschiedene Sicherheitsaspekte, die sich in zwei Gruppen aufteilen lassen.

Unser Eingangsbeispiel gehört zur visuellen Kategorie. Diese umfasst zudem Darstellungen, die zwar unterschiedliche Zeichen nutzen, sich aber kaum voneinander unterscheiden. Perfekt, um Nutzer auf Fake-Webseiten mit scheinbar korrekter Domain zu locken. Ließ sich bereits beim ASCII die Ähnlichkeit von kleinem 'L' großem 'i' ausnutzen, bieten die weit über 100.000 Unicode-Zeichen heutzutage ein weitaus größeres Potpourri möglicher Variationen – bis hin zum Syntax-Spoofing: Hier wird dem Nutzer per Bruchstrich [U+2044] '⁄' ein Slash '/' vorgegaukelt. Ergebnis: Die URL http://security-insider.de⁄artikel⁄.gemeiner-cyberschurke.com würde Sie nicht zu einem Artikel Ihres Lieblingsportals führen, sondern zur Domäne gemeiner-cyberschurke.com.

Als „Non-Visual Security Issues“ stuft die „The Unicode Consortium“ provozierte Pufferüberläufe ein, die durch missbräuchlich verwendete Zeichenkodierungen provoziert wurden. Als problematisch thematisiert werden überdies Gatekeeper nachgelagerte „compatibility normalization[s] (NFKC)“ – bei denen Zeichenketten nach einer Sicherheitsprüfung umgewandelt werden.

(ID:49201993)