Tänu seadmisele tekkinud trükiveale said ründajad võimaluse MasterCardi DNS-serverit asendada.

Seralys ettevõttest turvauuringute spetsialist tuvastas võimaluse asendada DNS-server domeeni mastercard.com jaoks, mida kasutatakse MasterCardi maksesüsteemi infrastruktuuris. Domeeni mastercard.com seadetesse oli alates juunist 2020 jäänud viga – DNS-serverite nimekirjas, mis teenindavad seda domeeni, oli hosti „a22-65.akam.net” (DNS-teenus Akamai) asemel näidatud host „a22-65.akam.ne”. Juureolek „.ne” kuulub Nigeeria Vabariigile ja domeen „akam.ne” osutus müügiks kergesti kättesaadavaks.

Seega oli nelja ja poole aasta jooksul igaühel võimalik osta domeen „akam.ne”, luua host „a22-65.akam.ne”, käivitada sellel DNS-server, seadistada oma versioon DNS-vööndist mastercard.com ja suunata iga mastercard.com alamdomeen oma serverisse. DNSSEC-i ei kasutatud mastercard.com jaoks. Kuna viga oli tehtud ühe viiest DNS-serverist, oleks rünnaku õnnestumise korral saanud kontrollida vähemalt 1/5 liiklust. Ulatusi oleks saanud suurendada valevööndi jaoks kõrge TTL (Time To Live) seadmisega, mis tooks kaasa pikkade vaheaegade jooksul info hoidmise üldkasutatavates resolvendites, näiteks Cloudflare'i (1.1.1.1) ja Google'i (8.8.8.8) poolt toetatavate seas.

Lisaks olemasolevate hostide liikluse pealtkuulamisele oli võimalik teostada vähem märgatavat rünnakut ja kasutada esialgu puuduvat alamdomeeni phishingu korraldamiseks, näiteks luua host „redemtion.mastercard.com” ja kasutada seda spämmis legitiimse sisenemiskoha „redemption.mastercard.com” asemel. Lisaks, omades kontrolli ühe DNS-serveri üle, mis teenindab domeeni mastercard.com, oli võimalik saada TLS-sertifikaat teenustes, mis lubavad domeeni omandi kontrollimist veebivõi DNS-i kaudu, nagu Let’s Encrypt. Võimalike rünnakute stsenaariumides mainitakse ka valeposti serveri loomist, et pealtkuulata kirjavahetust e-posti aadressilt nimi@mastercard.com ja autentimisandmete pealtkuulamist töötajate arvutitelt, kes kasutavad Windowsi.

Probleemide avastanud teadlane ostis domeeni "akam.ne" 300 dollari eest ja käivitas sellele DNS-snifferi liikluse hindamiseks. Saadud päringute analüüs näitas, et MasterCardi juhtum ei ole ainus ning on olemas ka teisi domeenitsoone, mille DNS-serverite nimekirjas on host "akam.ne" asemele "akam.net". Veelgi enam, on leitud, et 2015. aastast 2018. aastani oli domeen "akam.ne" registreeritud ja tõenäoliselt kasutatud rünnakute läbiviimiseks. Rünnakute oletus põhineb sellel, et endine "akam.ne" omanik registreeris ka domeeni "awsdns-06.ne", mis on stiliseeritud DNS-serveri "awsdns-06.net" järgi. Ühe DNS-serveri mittetöötamine vale nime tõttu võib kaua jääda administraatorite tähelepanuta, kuna tõrgetest hoidumine tagatakse mitme DNS-serveri säilitamisega.

MasterCardi ettevõte ignoreeris alguses probleemist teatamist, kuid pärast seda, kui ajakirjanik Brian Krebs temaga ühendust võttis, tunnustas ta viga ja parandas selle, öeldes, et viga ei kujutanud endast ohtu infrastruktuurile. Seejärel suunati teadlasele Bugcrowdi teenuse kaudu, mis võimaldab avastatud haavatavuste eest tasu saada, MasterCardi nõue eemaldada avaldatud märkmed intsidentidest.

Teadlase vastusena ütles ta, et kuigi tal on Bugcrowdi teenuses konto, ei ole ta saatnud ühtegi taotlust tasu saamiseks, vaid teavitas otse MasterCardi ettevõtet probleemist. Märkus avaldati, et juhtida tähelepanu probleemile pärast seda, kui MasterCardi ettevõtte jaoks ei olnud enam ohtu ning domeen "akam.ne" kuulus teadlasele. Lõppkokkuvõttes ei kompenseerinud MasterCard mitte ainult 300 dollarit, mis kulus domeenile, vaid ei öelnud isegi tänusõnu teadlasele.

Mis puutub väitesse, et viga ei loonud täiendavaid riske, siis esitas teadlane saadud DNS-päringute statistika, milles esinevad domeenid *.az.mastercard.com, mis viitavad MasterCardi infrastruktuuri töötavatele komponentidele, mis asuvad Microsoft Azure'i pilveteenuses. Sarnaste komponentide kompromiteerimine kujutas ilmselt kriitilist ohtu turvalisusele.

Allikas: opennet.ru