Un ricercatore di sicurezza dell'azienda Seralys ha identificato la possibilità di sostituire il server DNS per il dominio mastercard.com, utilizzato nell'infrastruttura del sistema di pagamento MasterCard. Nelle impostazioni della zona del dominio mastercard.com, dal giugno 2020 era presente un errore di battitura: nella lista dei server DNS che gestivano la zona, invece dell'host «a22-65.akam.net» (servizio DNS di Akamai), era stato indicato l'host «a22-65.akam.ne». La zona radice «.ne» è registrata per la Repubblica del Niger e il dominio «akam.ne» si è rivelato disponibile per la vendita.
Pertanto, per quattro anni e mezzo, chiunque potesse acquistare il dominio «akam.ne», creare un host «a22-65.akam.ne», implementare su di esso un server DNS, creare una propria versione della zona DNS mastercard.com e reindirizzare qualsiasi sottodominio mastercard.com al proprio server. DNSSEC non è stato utilizzato per mastercard.com. Poiché l'errore è stato commesso nel nome di uno dei cinque server DNS, in caso di attacco riuscito si poteva ottenere il controllo di almeno 1/5 del traffico. La portata potrebbe essere aumentata impostando un grande TTL (Time To Live) per la zona compromessa, il che porterebbe a un mantenimento più lungo delle registrazioni nella cache dei risolutori pubblici, come quelli supportati da Cloudflare (1.1.1.1) e Google (8.8.8.8).
Oltre all'intercettazione del traffico degli host esistenti, era possibile effettuare un attacco meno evidente e utilizzare un sottodominio inizialmente assente per organizzare phishing, ad esempio, creando un host «redemtion.mastercard.com» e utilizzandolo nello spam al posto del legittimo punto di accesso «redemption.mastercard.com». Tra le altre cose, avendo il controllo di uno dei server DNS che gestiscono il dominio mastercard.com, si poteva ottenere certificato TLS accesso a servizi che consentono la verifica della proprietà del dominio tramite Web o DNS, come Let’s Encrypt. Tra i possibili scenari di attacco viene anche menzionata la creazione di un server di posta falso per intercettare la corrispondenza dall'email nome@mastercard.com e l'organizzazione dell'intercettazione delle credenziali di autenticazione dai computer dei dipendenti che utilizzano Windows.
Un ricercatore che ha scoperto delle problematiche ha acquistato il dominio «akam.ne» per 300$ e ha lanciato un DNS sniffer per valutare il volume di traffico. L'analisi delle richieste ricevute ha mostrato che il caso di MasterCard non è stato isolato e che esistono altre zone di dominio la cui lista di server DNS include l'host «akam.ne» invece di «akam.net». Inoltre, è emerso che dal 2015 al 2018 il dominio «akam.ne» è stato registrato e, molto probabilmente, utilizzato per condurre attacchi. L'ipotesi sugli attacchi è stata avanzata poiché il precedente proprietario di «akam.ne» ha registrato anche il dominio «awsdns-06.ne», stilizzato come server DNS «awsdns-06.net». L'inefficacia di uno dei server DNS con un errore di battitura nel nome può rimanere a lungo inosservata dagli amministratori, dal momento che la ridondanza è garantita dalla segnalazione di più server DNS.
L'azienda MasterCard inizialmente ha ignorato la segnalazione del problema, ma dopo che il giornalista Brian Krebs l'ha contattata, ha riconosciuto e corretto l'errore, affermando che non rappresentava una minaccia per l'infrastruttura. Successivamente, attraverso il servizio Bugcrowd, che consente di ricevere commissioni per vulnerabilità scoperte, è stata inviata al ricercatore una richiesta da parte di MasterCard per rimuovere la nota pubblicata sull'incidente.
In risposta, il ricercatore ha dichiarato che, sebbene avesse un conto sul servizio Bugcrowd, non aveva presentato alcuna richiesta di ricompensa, ma aveva avvisato direttamente l'azienda MasterCard del problema. La nota è stata pubblicata per attirare l'attenzione sul problema dopo che non vi era più alcuna minaccia per MasterCard e il dominio «akam.ne» apparteneva al ricercatore. Di conseguenza, l'azienda MasterCard non solo non ha rimborsato i 300$ spesi per il dominio, ma non ha nemmeno ringraziato il ricercatore a parole.
Per quanto riguarda l'affermazione che l'errore non ha creato rischi aggiuntivi, il ricercatore ha fornito statistiche sulle richieste DNS ricevute, nelle quali figurano i domini *.az.mastercard.com, che indicano componenti operativi dell'infrastruttura MasterCard ospitati nel servizio cloud Microsoft Azure. La compromissione di tali componenti, a quanto pare, rappresentava una minaccia critica per la sicurezza.
Fonte: opennet.ru
