I ricercatori della watchTowr Labs hanno pubblicato i risultati di un esperimento che ha catturato il servizio WHOIS obsoleto del registrar del dominio di primo livello '.MOBI'. La ragione dello studio è stata che il registrar ha cambiato l'indirizzo del servizio WHOIS, spostandolo dal dominio whois.dotmobiregistry.net su un nuovo host whois.nic.mobi. Nel frattempo, il dominio dotmobiregistry.net ha smesso di essere utilizzato ed è stato liberato a dicembre 2023, diventando disponibile per la registrazione.
I ricercatori hanno speso 20 dollari e hanno acquistato questo dominio, successivamente hanno avviato sul loro server un proprio servizio WHOIS fittizio whois.dotmobiregistry.net. La sorpresa è stata che molti sistemi non hanno fatto il passaggio al nuovo host whois.nic.mobi e continuavano a utilizzare il vecchio nome. Dal 30 agosto al 4 settembre di quest'anno sono state registrate 2,5 milioni di richieste sul vecchio nome, inviate da oltre 135 mila sistemi unici.
Tra i mittenti delle richieste erano presenti indirizzi email server organizzazioni governative e militari, che hanno verificato i domini figuranti nelle email tramite WHOIS, specializzate nella sicurezza aziendale e piattaforme di sicurezza (VirusTotal, Group-IB), nonché centri di certificazione, servizi di verifica dei domini, servizi SEO e registratori di domini (ad esempio, domain.com, godaddy.com, who.is, whois.ru, smallseo.tools, seocheki.net, centralops.net, name.com, urlscan.io e webchart.org).
La possibilità di inviare qualsiasi dato in risposta a una richiesta al vecchio servizio WHOIS del dominio «.MOBI» è stata utilizzata per sviluppare diversi tipi di attacchi contro i mittenti delle richieste. La prima variante di attacco si basava sull'ipotesi che se qualcuno continua a inviare richieste a un servizio sostituito da tempo, probabilmente lo fa utilizzando strumenti obsoleti contenenti vulnerabilità.
Ad esempio, nel 2015 phpWHOIS ha individuato una vulnerabilità CVE-2015-5243, che consente l'esecuzione di codice da parte dell'attaccante durante l'analisi di dati appositamente formattati restituiti dal server WHOIS. Un altro esempio è la vulnerabilità CVE-2021-32749 rivelata nel 2021 nel pacchetto Fail2Ban, che consente l'esecuzione di codice esterno durante il ritorno di dati errati dal servizio WHOIS utilizzato nel processo di generazione di un avviso di blocco (Fail2Ban identificava tramite WHOIS l'email dell'amministratore dell'host e la indicava durante l'esecuzione del comando mail senza un'adeguata sanificazione dei caratteri speciali).
Il secondo attacco si basa sul fatto che alcuni enti di certificazione offrono la possibilità di verificare la proprietà del dominio tramite email, specificata nel database del registrar del dominio, accessibile tramite il protocollo WHOIS. È emerso che diversi enti di certificazione che supportano questo metodo di verifica continuano a utilizzare un vecchio server WHOIS per la zona di dominio «.MOBI».
In questo modo, ottenendo il controllo sul nome whois.dotmobiregistry.net, gli attaccanti possono restituire i propri dati, eseguire la conferma e ottenere un certificato TLS per qualsiasi dominio nella zona .MOBI». Ad esempio, durante un esperimento, i ricercatori hanno richiesto a GlobalSign un certificato TLS per il dominio microsoft.mobi e l'indirizzo email "whois@watchTowr.com" restituito dal servizio WHOIS fasullo è stato mostrato nell'interfaccia come disponibile per l'invio del codice di conferma di proprietà del dominio.
Fonte: opennet.ru
