Специалист по безопасности от компанията Seralys разкри възможност за подмяна на DNS сървъра за домейна mastercard.com, използван в инфраструктурата на платежната система MasterCard. В настройките на доменната зона mastercard.com от юни 2020 година е имало печатна грешка - в списъка на обслужващите DNS сървъри вместо хостa „a22-65.akam.net“ (DNS услуга Akamai) е посочен хост „a22-65.akam.ne“. Кореновата зона „.ne“ е собственост на Република Нигер и домейнът „akam.ne“ е бил достъпен за продажба.
Така, в продължение на четири години и половина всеки желаещ е могъл да купите домейн да създаде хост „a22-65.akam.ne“, да разположи на него DNS сървър, да създаде собствена версия на DNS зоната mastercard.com и да пренасочи всеки поддомен на mastercard.com към своя сървър. DNSSEC за mastercard.com не е бил използван. Понеже грешката е допусната в името на един от петте DNS сървъри, в случай на успешна атака, е можело да се получи контрол над поне 1/5 от трафика. Обхватът може да бъде увеличен, като се зададе голям TTL (Time To Live) за подменената зона, което ще доведе до по-дълго задържане на записите в кеша на обществените резолвери, например, поддържани от компаниите Cloudflare (1.1.1.1) и Google (8.8.8.8).
Освен подмяна на трафика на съществуващите хостове, е можело да се проведе по-малко забележима атака и да се използва първоначално отсъстващ поддомен за организиране на фишинг, например, да се създаде хост „redemtion.mastercard.com“ и да се използва в спам вместо легитимната входна точка „redemption.mastercard.com“. Освен това, ако имате контрол над един от DNS сървърите, обслужващи домен mastercard.com, може да получите TLS сертификат достъп до услуги, допускащи проверка на собствеността на домейна през Web или DNS, като Let’s Encrypt. Сред възможните сценарии на атаки също се споменава създаване на подменен пощенски сървър за прихващане на кореспонденция от email име@mastercard.com и организиране на прихващане на данни за аутентификация от компютри на служители, използващи Windows.
Изследовател, който установил проблемите, купи домейна «akam.ne» за $300 и стартира DNS-снифер за оценка на обема на трафика. Анализата на получените заявки показа, че случайът с MasterCard не е единственият и съществуват и други домейни, в списъка на DNS-сървърите на които е посочен хостът «akam.ne» вместо «akam.net». Освен това беше установено, че от 2015 до 2018 година домейнът «akam.ne» е бил регистриран и вероятно е бил използван за извършване на атаки. Предположението за атаки е направено, тъй като бившият собственик на «akam.ne» също е регистрирал домейн «awsdns-06.ne», който е стилизиран като DNS-сървър «awsdns-06.net». Неправилното функциониране на един от DNS-сървърите с печатна грешка в името може да остане незабелязано от администраторите, тъй като отказоустойчивостта се осигурява чрез указване на няколко DNS-сървъра.
Компанията MasterCard първоначално игнорира съобщението за проблема, но след като се свърза с нея журналистът Брайан Кребс (Brian Krebs), признае и поправи грешката, заявявайки, че грешката не представлява заплаха за инфраструктурата. След това чрез услугата Bugcrowd, която позволява получаване на възнаграждения за установени уязвимости, на изследователя беше пренасочено искането от MasterCard за премахване на публикуваното известие за инцидента.
В отговор изследователят заяви, че макар и да има акаунт в услугата Bugcrowd, не е изпращал никакви молби за възнаграждения, а директно е уведомил компанията MasterCard за проблема. Записката беше публикувана с цел да привлече внимание към проблема след като на компанията MasterCard вече не ѝ е заплашено и домейнът «akam.ne» е принадлежал на изследователя. В крайна сметка компанията MasterCard не само че не компенсира $300, изразходвани за домейна, но дори не благодари на изследователя.
Що се отнася до твърдението, че грешката не е създала допълнителни рискове, изследователят представи статистика на получените DNS-заявки, в която фигурират домейните *.az.mastercard.com, сочещи към работещите компоненти на инфраструктурата на MasterCard, разположени в облачния услуга на Microsoft Azure. Компрометирането на подобни компоненти, очевидно представлява критична заплаха за сигурността.
Източник: opennet.ru
