I ricercatori della watchTowr Labs hanno pubblicato i risultati di un esperimento sul recupero del servizio WHOIS obsoleto del registrar del dominio «.MOBI». La ragione della ricerca è stata che il registrar ha cambiato l'indirizzo del servizio WHOIS, trasferendolo dal dominio whois.dotmobiregistry.net al nuovo host whois.nic.mobi. Nel frattempo, il dominio dotmobiregistry.net ha smesso di essere utilizzato ed è stato rilasciato a dicembre 2023, diventando disponibile per la registrazione.
I ricercatori hanno speso 20 dollari e hanno acquistato questo dominio, dopo di che hanno avviato sul loro server il proprio servizio WHOIS fittizio whois.dotmobiregistry.net. Ha sorpreso il fatto che molti sistemi non si siano passati al nuovo host whois.nic.mobi e continuassero a utilizzare il vecchio nome. Dal 30 agosto al 4 settembre di quest'anno sono state registrate 2,5 milioni di richieste sul vecchio nome, inviate da oltre 135 mila sistemi unici.
Tra i mittenti delle richieste c'erano server di servers organizzazioni governative e militari, che controllavano i domini figuranti nelle email tramite WHOIS, specializzandosi nella sicurezza aziendale e nelle piattaforme di sicurezza (VirusTotal, Group-IB), così come autorità di certificazione, servizi di verifica dei domini, servizi SEO e registrar di domini (ad esempio, domain.com, godaddy.com, who.is, whois.ru, smallseo.tools, seocheki.net, centralops.net, name.com, urlscan.io e webchart.org).
La possibilità di inviare qualsiasi dato in risposta a una richiesta al vecchio servizio WHOIS del dominio «.MOBI» è stata sfruttata per sviluppare diversi tipi di attacchi ai mittenti delle richieste. Il primo tipo di attacco si basava sull'assunto che se qualcuno continua a inviare richieste a un servizio da tempo sostituito, probabilmente lo fa utilizzando strumenti obsoleti contenenti vulnerabilità.
Ad esempio, in phpWHOIS nel 2015 è stata scoperta una vulnerabilità CVE-2015-5243, che permetteva di eseguire codice malevolo durante l'analisi di dati appositamente formattati restituiti dal server WHOIS. Un altro esempio è la vulnerabilità CVE-2021-32749 scoperta nel 2021 nel pacchetto Fail2Ban, che consentiva l'esecuzione di codice esterno quando venivano restituiti dati errati dal servizio WHOIS utilizzato nel processo di generazione di avvisi di blocco (Fail2Ban identificava tramite WHOIS l'email dell'amministratore dell'hosting e la indicava durante l'esecuzione del comando mail senza adeguata escape dei caratteri speciali).
Il secondo attacco si basa sul fatto che alcuni centri di certificazione offrono la possibilità di verificare la proprietà del dominio tramite email, indicata nel database del registrar del dominio, accessibile tramite il protocollo WHOIS. Si è scoperto che diversi centri di certificazione che supportano questo metodo di verifica continuano a utilizzare un vecchio server WHOIS per il dominio «.MOBI».
Pertanto, ottenendo il controllo sul nome whois.dotmobiregistry.net, gli attaccanti possono restituire i propri dati, eseguire la verifica e ottenere certificato TLS per qualsiasi dominio nella zona .MOBI». Ad esempio, durante l'esperimento, i ricercatori hanno richiesto al registrar GlobalSign un certificato TLS per il dominio microsoft.mobi e l'email restituita dal servizio WHOIS fasullo «whois@watchTowr.com» è stata mostrata nell'interfaccia come disponibile per l'invio del codice di verifica della proprietà del dominio.
Fonte: opennet.ru
