Aufgrund eines Tippfehlers in den Einstellungen konnten Angreifer den DNS-Server von MasterCard umleiten.

Ein Sicherheitsforscher von Seralys hat eine Möglichkeit zur Umleitung des DNS-Servers für die Domain mastercard.com entdeckt, die in der Infrastruktur des Zahlungssystems MasterCard verwendet wird. In den Einstellungen der Domain-Zone mastercard.com gab es seit Juni 2020 einen Tippfehler – im Auflistung der DNS-Server, die die Zone verwalten, war anstelle des Hosts „a22-65.akam.net“ (DNS-Dienst von Akamai) der Host „a22-65.akam.ne“ angegeben. Die Root-Zone „.ne“ gehört zur Republik Niger, und die Domain „akam.ne“ war zum Verkauf angeboten.

So konnte über einen Zeitraum von viereinhalb Jahren jeder Interessierte die Domain „akam.ne“ kaufen, den Host „a22-65.akam.ne“ erstellen, einen DNS-Server darauf einrichten, seine eigene Version der DNS-Zone mastercard.com erstellen und jeden Subdomain von mastercard.com auf seinen Server umleiten. DNSSEC wurde für mastercard.com nicht verwendet. Da der Tippfehler in dem Namen eines der fünf DNS-Server gemacht wurde, konnte bei einem erfolgreichen Angriff die Kontrolle über mindestens 1/5 des Traffics erlangt werden. Der Umfang könnte durch die Festlegung einer hohen TTL (Time To Live) für die betrügerische Zone erhöht werden, was zu einer längeren Beibehaltung der Einträge im Cache von öffentlichen Resolvern führen würde, beispielsweise von Cloudflare (1.1.1.1) und Google (8.8.8.8).

Neben der Abfangung des Traffics existierender Hosts wäre es möglich gewesen, einen weniger auffälligen Angriff durchzuführen und einen ursprünglich nicht vorhandenen Subdomain für Phishing zu nutzen, beispielsweise einen Host „redemtion.mastercard.com“ zu erstellen und diesen in Spam statt des legitimen Eingangs „redemption.mastercard.com“ zu verwenden. Unter anderem hätte man durch die Kontrolle über einen der DNS-Server, die die Domain mastercard.com verwalten, Zugang erhalten können TLS-Zertifikat zu Diensten, die die Überprüfung des Domainbesitzes über Web oder DNS zulassen, wie Let’s Encrypt. Zu den möglichen Angriffsszenarien wird auch die Erstellung eines betrügerischen Mailservers erwähnt, um die Korrespondenz von der E-Mail-Adresse name@mastercard.com abzufangen und die Daten zur Authentifizierung von Computern der Mitarbeiter abzufangen, die Windows verwenden.

Der Forscher, der die Probleme aufdeckte, kaufte die Domain 'akam.ne' für 300 $ und startete darauf einen DNS-Sniffer, um das Verkehrsvolumen zu bewerten. Die Analyse der eingehenden Anfragen zeigte, dass der Fall mit MasterCard nicht der einzige war und es weitere Domainzonen gab, bei denen im DNS-Server-Listing der Host 'akam.ne' anstelle von 'akam.net' angegeben war. Darüber hinaus wurde festgestellt, dass die Domain 'akam.ne' von 2015 bis 2018 registriert und vermutlich für Angriffe genutzt wurde. Der Verdacht auf Angriffe basiert darauf, dass der frühere Eigentümer von 'akam.ne' auch die Domain 'awsdns-06.ne' registrierte, die wie der DNS-Server 'awsdns-06.net' gestaltet ist. Die Fehlfunktion eines der DNS-Server mit einem Schreibfehler im Namen könnte von den Administratoren lange unentdeckt bleiben, da die Fehlertoleranz durch die Angabe mehrerer DNS-Server gewährleistet ist.

Die Firma MasterCard ignorierte zunächst die Meldung über das Problem, doch nachdem der Journalist Brian Krebs Kontakt aufnahm, gab sie die Fehler ein und erklärte, dass der Fehler keine Bedrohung für die Infrastruktur darstelle. Danach wurde der Forscher über den Service Bugcrowd, der es ermöglicht, für entdeckte Schwachstellen Entschädigungen zu erhalten, mit einer Aufforderung von MasterCard zur Löschung der veröffentlichten Mitteilung über den Vorfall konfrontiert.

Daraufhin erklärte der Forscher, dass er zwar ein Konto bei Bugcrowd hat, aber keine Anträge auf eine Belohnung eingereicht habe und die Firma MasterCard direkt über das Problem informiert habe. Die Mitteilung wurde veröffentlicht, um auf das Problem aufmerksam zu machen, nachdem die Firma MasterCard bereits in keiner Gefahr mehr war und die Domain 'akam.ne' dem Forscher gehörte. Letztendlich entschädigte die Firma MasterCard nicht nur die 300 $, die für die Domain ausgegeben wurden, sondern bedankte sich auch in Worten nicht bei dem Forscher.

Was die Behauptung betrifft, dass der Fehler keine zusätzlichen Risiken geschaffen hat, führte der Forscher Statistiken der eingehenden DNS-Anfragen an, darunter die Domains *.az.mastercard.com, die auf funktionale Komponenten der MasterCard-Infrastruktur verweisen, die in dem Cloud-Service Microsoft Azure gehostet werden. Die Kompromittierung solcher Komponenten stellte offenbar eine kritische Bedrohung für die Sicherheit dar.

Quelle: opennet.ru