Forscher von watchTowr Labs haben die Ergebnisse eines Experiments zur Übernahme eines veralteten WHOIS-Dienstes des Registrars der Domainzone „.MOBI“ veröffentlicht. Anlass für die Untersuchung war die Änderung der WHOIS-Dienstadresse durch den Registrar, der sie von der Domain whois.dotmobiregistry.net auf den neuen Host whois.nic.mobi verlegt hat. In der Folge wurde die Domain dotmobiregistry.net nicht mehr genutzt und im Dezember 2023 freigegeben, sodass sie zur Registrierung verfügbar wurde.
Die Forscher investierten 20 Dollar und kauften diese Domain, woraufhin sie ihren eigenen gefälschten WHOIS-Service whois.dotmobiregistry.net auf ihrem Server starteten. Überraschend war, dass viele Systeme nicht auf den neuen Host whois.nic.mobi umschalteten, sondern weiterhin den alten Namen verwendeten. Vom 30. August bis zum 4. September dieses Jahres wurden 2,5 Millionen Anfragen unter dem alten Namen verzeichnet, die von mehr als 135.000 einzigartigen Systemen gesendet wurden.
Unter den Absendern der Anfragen waren auch E-Mail- Server staatlicher und militärischer Organisationen, die die in der E-Mail aufgeführten Domains über WHOIS geprüft haben und auf Sicherheit spezialisierte Unternehmen und Sicherheitsplattformen (VirusTotal, Group-IB), sowie Zertifizierungsstellen, Domain-Prüfdienste, SEO-Dienste und Domain-Registrare (z. B. domain.com, godaddy.com, who.is, whois.ru, smallseo.tools, seocheki.net, centralops.net, name.com, urlscan.io und webchart.org).
Die Möglichkeit, beliebige Daten als Antwort auf Anfragen an den alten WHOIS-Dienst der Domain-Zone „.MOBI“ zu senden, wurde zur Entwicklung mehrerer Angriffsarten auf die Anfragenden genutzt. Die erste Variante des Angriffs basierte auf der Annahme, dass, wenn jemand weiterhin Anfragen an einen längst ersetzten Dienst stellt, es wahrscheinlich ist, dass er dies mit veralteten Werkzeugen tut, die Schwachstellen enthalten.
Zum Beispiel wurde 2015 in phpWHOIS die Schwachstelle CVE-2015-5243 entdeckt, die es Angreifern ermöglicht, beim Parsen speziell gestalteter Daten, die vom WHOIS-Server zurückgegeben werden, Code auszuführen. Ein weiteres Beispiel ist die 2021 entdeckte Schwachstelle CVE-2021-32749 im Paket Fail2Ban, die es erlaubt, externen Code auszuführen, wenn inkorrekte Daten vom WHOIS-Dienst zurückgegeben werden, der während der Erstellung einer Sperwarnung verwendet wird (Fail2Ban ermittelte über WHOIS die E-Mail-Adresse des Hostadministrators und gab diese bei der Ausführung des mail-Befehls ohne angemessene Maskierung der Sonderzeichen an).
Der zweite Angriff basiert darauf, dass einige Zertifizierungsstellen die Möglichkeit bieten, den Besitz einer Domain über die E-Mail-Adresse zu verifizieren, die in der Datenbank des Domain-Registrars angegeben ist und über das WHOIS-Protokoll abgerufen werden kann. Es stellte sich heraus, dass mehrere Zertifizierungsstellen, die diese Prüfmethoden unterstützen, weiterhin einen alten WHOIS-Server für die Domainzone „.MOBI“ nutzen.
Auf diese Weise können Angreifer, die Kontrolle über den Namen whois.dotmobiregistry.net erlangen, ihre Daten zurückgeben, die Bestätigung durchführen und erhalten. TLS-Zertifikat für jede Domain in der .MOBI-Zone. Beispielsweise haben Forscher im Rahmen eines Experiments beim Registrar GlobalSign ein TLS-Zertifikat für die Domain microsoft.mobi angefordert. Die von einem gefälschten WHOIS-Dienst zurückgegebene E-Mail «whois@watchTowr.com» wurde in der Benutzeroberfläche als verfügbar angezeigt, um den Bestätigungscode für das Domain-Eigentum zu senden.
Quelle: opennet.ru
