Typosquatting

Définition

Le typosquatting est la pratique d'enregistrer des noms de domaine intentionnellement similaires à des domaines populaires, avec des fautes de frappe courantes, des transpositions de caractères, des ajouts ou suppressions de lettres, ou des extensions différentes. Ces domaines sont utilisés pour le phishing, la distribution de malwares, et la capture du trafic d'utilisateurs faisant des erreurs de frappe. Les techniques de typosquatting incluent : les transpositions (gogole.com, googel.com), les omissions (gogle.com), les ajouts (googlee.com, google-support.com), les substitutions visuelles (g00gle.com avec des zéros), les extensions alternatives (.net, .org, .io, .co au lieu de .com), les combinaisons avec des mots courants (google-login.com, facebook-account.com), et les variations de tirets (face-book.com, you-tube.com). Dans le contexte de la sécurité des applications (Dependency Confusion et Package Typosquatting), la technique cible les gestionnaires de packages (npm, PyPI, RubyGems) : en enregistrant des packages avec des noms similaires à des packages légitimes très utilisés (comme 'lodahs' au lieu de 'lodash', 'coIors' avec un L majuscule au lieu de 'colors'), un attaquant peut compromettre des développeurs qui font une faute de frappe lors de l'installation. Des cas documentés incluent : crossenv (typo de cross-env, infecté 2017), event-stream (compromission de supply chain 2018), et des packages npmqu ciblant des dépendances de React, Vue, et Angular très populaires. Ces packages malveillants volent des variables d'environnement (credentials, tokens) ou installent des backdoors. Des outils comme dnstwist (génère et teste des variations typosquatting d'un domaine) et des scanners de packages PyPI/npm permettent de surveiller les typosquats de ses propres domaines et packages.