Un ricercatore della sicurezza della società Seralys ha scoperto la possibilità di sostituire il server DNS per il dominio mastercard.com, utilizzato nell'infrastruttura del sistema di pagamento MasterCard. Nelle impostazioni della zona del dominio mastercard.com era presente, da giugno 2020, un errore di battitura: nell'elenco dei server DNS che gestivano la zona era stato indicato l'host "a22-65.akam.ne" invece di "a22-65.akam.net" (servizio DNS di Akamai). La zona radice ".ne" è riservata alla Repubblica del Niger e il dominio "akam.ne" è risultato disponibile per la vendita.
Pertanto, per quattro anni e mezzo, chiunque potesse acquistare il dominio «akam.ne», creare un host «a22-65.akam.ne», implementare un server DNS su di esso, creare una propria versione della zona DNS mastercard.com e reindirizzare qualsiasi sottodominio mastercard.com al proprio server. DNSSEC non è stato utilizzato per mastercard.com. Poiché c'è stato un errore nel nome uno dei cinque server DNS, in caso di attacco riuscito si sarebbe potuto ottenere il controllo di almeno 1/5 del traffico. Il raggio d'azione può essere aumentato impostando un TTL (Time To Live) elevato per la zona fasulla, il che porterà a una conservazione più lunga delle registrazioni nella cache dei resolver pubblici, ad esempio quelli supportati da Cloudflare (1.1.1.1) e Google (8.8.8.8).
Oltre all'intercettazione del traffico degli host esistenti, era possibile effettuare un attacco meno evidente e utilizzare un sottodominio inizialmente assente per organizzare un phishing, ad esempio, creare un host «redemtion.mastercard.com» e usarlo nello spam invece del legittimo punto di accesso «redemption.mastercard.com». Tra le altre cose, avendo il controllo su uno dei server DNS che gestiscono il dominio mastercard.com, si poteva ottenere un certificato TLS in servizi che consentono la verifica della proprietà del dominio tramite Web o DNS, come Let’s Encrypt. Tra i possibili scenari di attacco viene menzionata anche la creazione di un server di posta fasullo per intercettare la corrispondenza con l'email nome@mastercard.com e l'organizzazione dell'intercettazione dei dati di autenticazione dai computer dei dipendenti che utilizzano Windows.
Il ricercatore che ha identificato i problemi ha acquistato il dominio "akam.ne" per $300 e ha avviato un sniffing DNS per valutare il volume di traffico. L'analisi delle richieste ricevute ha mostrato che il caso di MasterCard non è unico e ci sono altre aree di dominio, nell'elenco dei server DNS dei quali è indicato l'host "akam.ne" invece di "akam.net". Inoltre, è emerso che dal 2015 al 2018 il dominio "akam.ne" era registrato e probabilmente utilizzato per condurre attacchi. L'ipotesi di attacchi è stata formulata poiché il precedente proprietario di "akam.ne" ha registrato anche il dominio "awsdns-06.ne", che è stilizzato come il server DNS "awsdns-06.net". L'inattività di uno dei server DNS con un errore di battitura nel nome può rimanere inosservata dagli amministratori per lungo tempo, poiché la resilienza è garantita grazie all'indicazione di più server DNS.
All'inizio, MasterCard ha ignorato il messaggio riguardante il problema, ma dopo che il giornalista Brian Krebs l'ha contattata, ha riconosciuto e corretto l'errore, affermando che non rappresentava una minaccia per l'infrastruttura. Successivamente, tramite il servizio Bugcrowd, che consente di ricevere compensi per la scoperta di vulnerabilità, è stata inoltrata al ricercatore una richiesta di MasterCard per rimuovere la nota pubblicata sull'incidente.
In risposta, il ricercatore ha dichiarato che, sebbene avesse un account su Bugcrowd, non aveva inviato alcuna richiesta di compenso e aveva avvisato direttamente MasterCard del problema. La nota è stata pubblicata per attirare l'attenzione sul problema dopo che non c'era più alcuna minaccia per MasterCard e il dominio "akam.ne" apparteneva al ricercatore. Alla fine, MasterCard non solo non ha rimborsato i 300 dollari spesi per il dominio, ma neppure ha ringraziato il ricercatore a parole.
Per quanto riguarda l'affermazione che l'errore non ha creato rischi aggiuntivi, il ricercatore ha fornito statistiche sulle richieste DNS ricevute, nelle quali figurano i domini *.az.mastercard.com, che indicano componenti operativi dell'infrastruttura MasterCard ospitati nel servizio cloud di Microsoft Azure. La compromissione di tali componenti rappresentava chiaramente una minaccia critica per la sicurezza.
Fonte: opennet.ru
