URL Obfuscation (обфускация URL) - это техника намеренного искажения структуры веб-адреса, при которой истинный пункт назначения ссылки скрывается или маскируется, а визуальное и техническое представление URL перестаёт однозначно указывать на реальный ресурс. Обфускация не меняет конечную цель перехода, но изменяет форму записи адреса так, чтобы она обходила автоматические проверки, не вызывала подозрений у человека или ломала корректный разбор ссылки промежуточными системами безопасности.
Зачем искажают адреса
Обфускация URL относится к методам уклонения от защиты (Defense Evasion) и тесно связана с социальной инженерией. Атакующий решает две задачи одновременно. Во-первых, нужно провести ссылку через почтовые шлюзы, прокси-серверы и сканеры ссылок, которые анализируют текст письма или веб-страницы. Во-вторых, нужно сделать так, чтобы человек, увидев адрес, не заподозрил неладное. Чем менее «технически подозрительным» выглядит URL, тем выше вероятность клика. Именно поэтому обфускация часто используется в фишинговых кампаниях, при доставке вредоносного программного обеспечения и в атаках, нацеленных на кражу учётных данных.
Основные приёмы
Один из самых распространённых методов - процентное кодирование (Percent-Encoding). Символы в URL заменяются последовательностями вида %XX, которые формально допустимы, но визуально разрывают строку. В phishing-наборе Tycoon, например, использовались серии невидимых пробелов, кодируемых как %20, чтобы отодвинуть вредоносную часть ссылки за пределы видимости сканера, а также символы Unicode, внешне неотличимые от точки, но имеющие другой код.
Другой приём - гомоглифы (Homoglyphs) и Punycode. Гомоглифы - это символы из разных алфавитов, которые выглядят одинаково для человека, но различаются на уровне байтов. Например, латинская o и кириллическая о визуально совпадают, но ведут на разные домены. Punycode позволяет регистрировать доменные имена с не-ASCII символами, и в некоторых случаях отображение такого адреса в браузере может вводить в заблуждение, если защита от IDN-гомографических атак не срабатывает.
Символ @ в URL исторически обозначает начало пользовательской информации (Userinfo), а всё, что идёт после него, воспринимается как реальный хост. Атакующие пользуются этим, размещая перед @ доверенное слово, например название бренда, чтобы визуально ссылка выглядела как адрес известной компании, тогда как переход происходит на совершенно другой узел. Похожий эффект даёт избыточный префикс протокола или нестандартная запись схемы, при которой часть строки, похожая на протокол, не является ею на самом деле.
Обфускация может затрагивать и IP-адреса. Вместо доменного имени используется IP-литерал, в том числе в формате IPv6 в квадратных скобках. Такая запись является допустимой с точки зрения спецификации URI, но многие сканеры и системы репутации ожидают увидеть именно доменное имя и не умеют корректно интерпретировать IPv6-литерал. Атакующие также применяют неканонические формы IPv4, сокращатели ссылок (URL Shorteners), открытые редиректы (Open Redirects) на легитимных сайтах и цепочки из нескольких перенаправлений, чтобы конечный адрес проявлялся только в момент клика.
Примеры из практики
В конце 2025 года исследователи зафиксировали фишинговую рассылку, в которой все ссылки использовали IPv6-литералы в скобочной нотации вместо доменных имён. Формат был валидным и вёл на реальный IP-адрес, но ломал разбор URL у сканеров и систем репутации, которые привыкли работать со строками хостов. Письмо при этом проходило проверки SPF, DKIM и DMARC, потому что отправлялось с легитимно настроенного домена.
Другой показательный случай - цепочка, в которой ссылка проходила через механизм переписывания URL от Sophos, а внутри скрывался сокращатель is.gd, ведущий на неизвестный конечный ресурс. Статический анализ видел только легитимный прокси-домен и сокращатель, но не видел финальную точку. Аналогичным образом атакующие злоупотребляли сервисами переписывания ссылок от Proofpoint и Intermedia, маскируя фишинговые страницы Microsoft 365 за доверенными доменами.
Как противостоять
Защита от обфускации URL строится на нормализации и полном разборе ссылки перед принятием решения. Система безопасности должна не просто сравнивать строку с чёрным списком, а канонизировать URL: раскрывать процентное кодирование, приводить домен к единому виду, проверять наличие Userinfo и нестандартных схем, разрешать сокращатели и цепочки редиректов в изолированной среде. На уровне пользователя привычка проверять, куда ведёт ссылка при наведении, и не переходить по адресам с необычными символами или структурой остаётся важным, хотя и не абсолютным барьером. Обфускация URL постоянно развивается, поэтому устойчивость к ней требует сочетания технической нормализации, мониторинга аномалий и обучения сотрудников.
