網絡安全研究人員和IT管理員對谷歌新的ZIP和MOV互聯網域名提出了擔憂，警告說攻擊者可能利用它們進行網絡釣魚攻擊和惡意軟件傳輸。
本月早些時候，谷歌推出了8個新的高級域名（TLD），可以購買用于托管網站或電子郵件地址。
這些新域名包括.dad、.esq、.prof、.phd、.nexus、.foo，以及我們本篇提到的.zip和.mov域名。
(相關資料圖)
雖然ZIP和MOV高級域名自2014年以來一直可用，但直到本月才開始普遍可用，允許任何人購買域名，如bleepingcomputer.zip，用于建立網站。
然而，這些域名被認為是有風險的，因為這些域名也是論壇帖子、信息和在線討論中經常分享的文件擴展名。
擔憂網上常見的兩種文件類型分別是ZIP壓縮文件和MPEG 4視頻，其文件名以.zip （壓縮文件）或.mov（視頻文件）結尾。
因此，人們發布含有以.zip和.mov為擴展名的文件名是非常常見的。
然而，現在它們變成了域名，一些消息平臺和社交媒體網站會自動將帶有.zip和.mov擴展名的文件名轉換成URL。
例如，在Twitter上，如果你向某人發送zip文件和訪問MOV文件的說明，這些無害的文件名會被自動轉換成URL，如下圖所示。
當人們看到指示中的URL時，他們通常認為該URL可以用來下載相關文件，并可能點擊該鏈接。例如，在BleepingComputer的文章、教程和討論區中，我們通常是將文件名與下載鏈接起來，提供說明。
但是，如果攻擊者擁有一個與鏈接文件名相同的.zip域名，那么人們可能會錯誤地訪問該網站，并上當受騙或下載惡意軟件。
雖然攻擊者不太可能為了幾個受害者而注冊成千上萬的域名，但只需要一個企業員工錯誤地安裝惡意軟件，整個網絡都會受到影響。
濫用這些域名并不是理論上的，網絡情報公司Silent Push Labs已經在microsoft-office[.zip上發現了一個類似釣魚的頁面，試圖竊取微軟賬戶的憑證。
網絡安全研究人員也開始玩起了域名，Bobby Rauch發表了關于利用Unicode字符和URL中的userinfo分隔符（@）開發的釣魚鏈接的研究。
Rauch的研究表明，攻擊者先制作釣魚網址，該網址看起來像GitHub上的合法文件下載網址，但實際上點擊后會把你跳轉到v1.27.1[.]zip的網站，如下圖所示。
矛盾的觀點這些發現在開發者、安全研究人員和IT管理員中引發了一場爭論，一些人認為這種擔心是沒有必要的，另一些人則認為ZIP和MOV域名給已經有風險的網絡環境增加了不必要的風險。
人們已經開始注冊與常見的ZIP壓縮文件相關的.zip域名，如update.zip、financialstatement.zip、setup.zip、attachment.zip、officeupdate.zip和backup.zip，以顯示有關ZIP域名風險的信息。
開源開發者Matt Holt還要求將ZIP域名從Mozilla的公共后綴列表中刪除。
然而，PSL社區很快解釋說，雖然這些域名可能有一點風險，但它們仍然有效，不應該從PSL中刪除，因為這將影響合法網站的運作。
與此同時，其他安全研究人員和開發人員，如微軟Edge開發人員Eric，也表示他們認為關于這些新域名的擔心是過度的。
當BleepingComputer就這些問題聯系谷歌時，他們表示，文件和域名之間的混淆風險是長期存在的，瀏覽器的保護措施已經部署，以保護用戶免受干擾。
域名和文件名之間的混淆風險并不是一個新問題。 例如，3M公司的Command產品使用域名command.com，這也是MS DOS和早期版本的Windows上的一個重要程序。 應用程序對此有保護措施（如谷歌安全瀏覽），這些保護措施對.zip等域名也將適用。
同時，新的命名空間為命名提供了更多機會，如community.zip和url.zip。 谷歌非常重視網絡釣魚和惡意軟件，谷歌注冊處有一套機制來禁止或刪除我們所有的惡意域名，包括.zip。 我們將繼續監測.zip和其他域名的使用情況，如果出現新的威脅，我們將采取適當的行動來保護用戶。" -——谷歌。
如何避免證所周知，點擊別人的鏈接或從你不信任的網站下載文件永遠是不安全的。
像其他任何鏈接一樣，如果你在信息中看到一個.zip或.mov鏈接，在點擊它之前先研究一下。如果你仍然不確定該鏈接是否安全，請不要點擊它。通過遵循這些簡單的步驟，將新域名的影響降至最小。
然而，隨著越來越多的應用程序自動將ZIP和MOV文件名變成鏈接，因此在上網時要時刻保持警惕。
參考鏈接：https://www.bleepingcomputer.com/news/security/new-zip-domains-spark-debate-among-cybersecurity-experts/
標簽：
