Phishing: Streit um Google-TLDs .zip und .mov

IT- und Sicherheitsexperten streiten sich um die Sinnhaftigkeit und Risiken neuer gTLD. Neu sind die Probleme allerdings nicht.

Artikel veröffentlicht am 17. Mai 2023, 12:05 Uhr, Sebastian Grüner

Googles Angebot für die TLDs .zip und .mov erregt die Gemüter zahlreicher Entwickler. (Bild: REUTERS)

Entwickler, Admins und Sicherheitsforscher diskutieren derzeit in Reddit-Foren oder auch auf Twitter heftig über die neuen generischen Top-Level-Domains .zip und .mov. Diese stellte Google als dafür zuständiger Registrar bereits Anfang Mai vor. Das offensichtliche Problem: Wegen der gTLDs könnten künftig Dateien (Archive und Videos) aufgrund ihrer Dateiendung mit URLs verwechselt werden.

Zwar gibt es die neuen TLDs theoretisch bereits seit Jahren, bisher waren diese aber nicht allgemein verfügbar. Durch das Angebot von Google ändert sich dies und Kunden können Domains mit den Endungen leicht registrieren. Werden aber etwa Dateinamen mit den Endungen in Foren oder anderweitig im Netz veröffentlicht, könnte es sein, dass diese auch als Link auf eine Webseite genutzt werden.

Malware und Phishing wegen Verwechslung möglich

Nutzern könnte so vergleichsweise leicht Malware untergeschoben werden, wenn diese hinter dem erstellten Link eine entsprechende Datei vermuten. Auch Phishing-Kampagnen sind so denkbar. Tatsächlich sind bereits einige Phishing-Seiten mit .zip-Domain registriert, wie die Sicherheitsforscher der Silent Push Labs schreiben.

Wie der Sicherheitsexperte Bobby Rauch außerdem schreibt, werden beim Phishing inzwischen zahlreiche weitere Methoden zum Verfremden von URLs verwendet, etwa Unicode-Zeichen. Rauch geht davon aus, dass dies insbesondere bei .zip-Domains gefährlich werden könnte, weil Nutzer dabei möglicherweise Direktlinks auf Download-Dateien erwarten.

Der für die Websicherheit bei Microsoft zuständige Eric Lawrence schreibt zu der Problematik in seinem Blog jedoch, dass dies nicht neu sei. So könnten Verwechslungen auch mit den veralteten .com-Dateien geschehen, ebenso wie für Bash-Skripte, deren übliche Endung .sh ebenfalls ein TLD ist. Aber darauf zu vertrauen, dass Nutzer in der Lage sind, URLs selbstständig zu verstehen, sei Lawrence zufolge "ein aussichtsloses Unterfangen".