Forscher von watchTowr Labs haben die Ergebnisse eines Experiments mit dem veralteten WHOIS-Service des Domainregistrars der Domainzone „.MOBI“ veröffentlicht. Anlass für die Untersuchung war, dass der Registrar die WHOIS-Serviceadresse geändert hat, indem er sie von der Domain whois.dotmobiregistry.net auf den neuen Host whois.nic.mobi verschoben hat. Dabei wurde die Domain dotmobiregistry.net nicht mehr verwendet und wurde im Dezember 2023 freigegeben und zur Registrierung verfügbar.
Die Forscher investierten 20 Dollar und erwarben diese Domain, nach denen sie ihren eigenen fiktiven WHOIS-Dienst whois.dotmobiregistry.net auf ihrem Server einrichteten. Es war überraschend, dass viele Systeme nicht auf den neuen Host whois.nic.mobi umschalteten und weiterhin den alten Namen verwendeten. Vom 30. August bis 4. September dieses Jahres wurden 2,5 Millionen Anfragen unter dem alten Namen registriert, gesendet von mehr als 135.000 einzigartigen Systemen.
Unter den Absendern der Anfragen befanden sich E-Mail- Server Behörden und militärische Organisationen, die die in den E-Mails genannten Domains über WHOIS überprüften, sowie Unternehmen und Plattformen, die sich auf Sicherheit spezialisiert haben (VirusTotal, Group-IB), sowie Zertifizierungsstellen, Domain-Validierungsdienste, SEO-Dienste und Domain-Registrarien (z. B. domain.com, godaddy.com, who.is, whois.ru, smallseo.tools, seocheki.net, centralops.net, name.com, urlscan.io und webchart.org).
Die Möglichkeit, beliebige Daten als Antwort auf Anfragen an den alten WHOIS-Service der Domainzone „.MOBI“ zu senden, wurde zur Entwicklung mehrerer Angriffstypen auf die Anfragenden genutzt. Die erste Angriffsmethode basierte auf der Annahme, dass, wenn jemand weiterhin Anfragen an einen längst ersetzten Service sendet, er dies wahrscheinlich mit veralteten Tools tut, die Schwachstellen enthalten.
Zum Beispiel wurde in phpWHOIS im Jahr 2015 eine Schwachstelle CVE-2015-5243 entdeckt, die es Angreifern ermöglicht, durch die Analyse speziell formatierter Daten, die vom WHOIS-Server zurückgegeben werden, Code auszuführen. Ein weiteres Beispiel ist die 2021 entdeckte Schwachstelle CVE-2021-32749 im Paket Fail2Ban, die es ermöglicht, externen Code auszuführen, wenn fehlerhafte Daten vom WHOIS-Dienst zurückgegeben werden, der im Prozess der Erzeugung einer Sperranzeige verwendet wird (Fail2Ban ermittelte über WHOIS die E-Mail des Administrators des Hosts und gab diese bei der Ausführung des mail-Befehls ohne entsprechende Escape-Zeichen an).
Der zweite Angriff beruht darauf, dass einige Zertifizierungsstellen die Möglichkeit bieten, den Domainbesitz über die im WHOIS-Protokoll zugängliche E-Mail-Adresse zu verifizieren, die im Domainregistrar verfügbar ist. Es stellte sich heraus, dass mehrere Zertifizierungsstellen, die eine solche Prüfungsart unterstützen, weiterhin den alten WHOIS-Server für die Domainzone „.MOBI“ nutzen.
So können die Angreifer, nachdem sie die Kontrolle über den Namen whois.dotmobiregistry.net erlangt haben, ihre Daten zurückgeben, die Verifizierung durchführen und erhalten TLS-Zertifikat für jede Domain in der Zone .MOBI“. Beispielsweise forderten die Forscher im Rahmen des Experiments von dem Registrar GlobalSign ein TLS-Zertifikat für die Domain microsoft.mobi an, und die von dem gefälschten WHOIS-Service zurückgegebene E-Mail „whois@watchTowr.com“ wurde in der Benutzeroberfläche als verfügbar angezeigt, um den Bestätigungscode für den Domainbesitz zu senden.
Quelle: opennet.ru
