Ein Sicherheitsforscher von Seralys hat die Möglichkeit einer DNS-Server-Manipulation für die Domain mastercard.com aufgedeckt, die in der Infrastruktur des Zahlungssystems MasterCard verwendet wird. Seit Juni 2020 gab es in den DNS-Zoneneinstellungen von mastercard.com einen Tippfehler — anstelle des Hosts „a22-65.akam.net“ (DNS-Service von Akamai) wurde der Host „a22-65.akam.ne“ angegeben. Die Root-Zone „.ne“ gehört zur Republik Niger, und die Domain „akam.ne“ war zum Verkauf verfügbar.
So konnte während viereinhalb Jahren jeder Interessierte eine Domain kaufen «akam.ne», einen Host «a22-65.akam.ne» erstellen, einen DNS-Server darauf einrichten, eine eigene DNS-Zone für mastercard.com erstellen und jeden Subdomain von mastercard.com auf den eigenen Server umleiten. DNSSEC für mastercard.com wurde nicht verwendet. Da ein Tippfehler im Namen eines der fünf DNS-Server gemacht wurde, hätte man im Falle eines erfolgreichen Angriffs Kontrolle über mindestens 1/5 des Traffics erlangen können. Die Reichweite kann erhöht werden, indem für die gefälschte Zone ein hoher TTL (Time To Live) eingestellt wird, was zu einer längeren Speicherung der Einträge im Cache von öffentlichen Resolvern wie denen von Cloudflare (1.1.1.1) und Google (8.8.8.8) führt.
Neben dem Abfangen des Traffics bestehender Hosts war es möglich, einen weniger auffälligen Angriff durchzuführen und ein ursprünglich nicht existierendes Subdomain für Phishing zu nutzen, beispielsweise einen Host «redemtion.mastercard.com» zu erstellen und diesen im Spam anstelle des legitimen Eingangs «redemption.mastercard.com» zu verwenden. Unter anderem hätte man mit der Kontrolle über einen der DNS-Server, die die Domain mastercard.com bedienen, erreichen können. TLS-Zertifikat In Diensten, die die Überprüfung des Domainbesitzes über Web oder DNS ermöglichen, wie Let’s Encrypt. Unter den möglichen Angriffsszenarien wird auch die Erstellung eines gefälschten Mailservers erwähnt, um Nachrichten von der Email-Adresse name@mastercard.com abzufangen, und die Organisation des Datenabfangens von den Computern der Mitarbeiter, die Windows verwenden.
Der Forscher, der die Probleme entdeckt hat, kaufte die Domain „akam.ne“ für 300 $ und startete darauf einen DNS-Sniffer, um das Traffic-Volumen zu bewerten. Die Analyse der erhaltenen Anfragen zeigte, dass der Fall von MasterCard nicht der einzige ist und es andere Domainzonen gibt, deren DNS-Server „akam.ne“ statt „akam.net“ angeben. Darüber hinaus wurde festgestellt, dass die Domain „akam.ne“ von 2015 bis 2018 registriert war und wahrscheinlich für Angriffe genutzt wurde. Der Verdacht auf Angriffe entsteht, da der frühere Besitzer von „akam.ne“ auch die Domain „awsdns-06.ne“ registriert hat, die dem DNS-Server „awsdns-06.net“ nachempfunden ist. Die Funktionsunfähigkeit eines der DNS-Server mit einem Schreibfehler im Namen kann von Administratoren lange unbemerkt bleiben, da die Ausfallsicherheit durch die Angabe mehrerer DNS-Server gewährleistet ist.
Die Firma MasterCard ignorierte zunächst die Meldung über das Problem, erkannte jedoch nach dem Kontakt mit dem Journalisten Brian Krebs den Fehler an und behob ihn, erklärte, dass dieser keine Bedrohung für die Infrastruktur darstellte. Daraufhin erhielt der Forscher über den Bugcrowd-Service, der Belohnungen für entdeckte Schwachstellen bietet, eine Aufforderung von MasterCard zur Löschung des veröffentlichten Berichts über den Vorfall.
Als Antwort erklärte der Forscher, dass er zwar ein Konto bei Bugcrowd hat, jedoch keine Anträge auf Belohnungen eingereicht hat, sondern das Unternehmen MasterCard direkt über das Problem informierte. Der Bericht wurde veröffentlicht, um auf das Problem aufmerksam zu machen, nachdem MasterCard bereits keine Bedrohung mehr ausgesetzt war und die Domain „akam.ne“ dem Forscher gehörte. Letztendlich entschädigte die Firma MasterCard nicht nur die 300 $ für die Domain nicht, sondern bedankte sich auch nicht einmal verbal bei dem Forscher.
Bezüglich der Behauptung, dass der Fehler keine zusätzlichen Risiken geschaffen hat, führte der Forscher Statistiken zu den erhaltenen DNS-Anfragen an, in denen die Domains *.az.mastercard.com erscheinen, die auf funktionale Bestandteile der MasterCard-Infrastruktur hinweisen, die im Cloud-Dienst von Microsoft Azure gehostet sind. Die Kompromittierung solcher Komponenten stellte offenbar eine kritische Sicherheitsbedrohung dar.
Quelle: opennet.ru
