WHOIS സേവനം ഉപയോഗിച്ച് കാലഹരണപ്പെട്ട ഡൊമെയ്‌നുകൾ ഉപയോഗിച്ച് വിദേശ മൊബി ഡൊമെയ്‌നുകൾക്കായി TLS സർട്ടിഫിക്കറ്റുകൾ നേടാനുള്ള ശ്രമം

watchTowr Labs-ലെ ഗവേഷകർ .MOBI ഡൊമെയ്ൻ രജിസ്ട്രാറുടെ ലെഗസി WHOIS സേവനം ഹൈജാക്ക് ചെയ്ത ഒരു പരീക്ഷണത്തിന്റെ ഫലങ്ങൾ പ്രസിദ്ധീകരിച്ചു. WHOIS വിലാസം whois.dotmobiregistry.net-ൽ നിന്ന് whois.nic.mobi എന്ന പുതിയ ഹോസ്റ്റിലേക്ക് മാറ്റിയ രജിസ്ട്രാറുടെ നടപടിയാണ് പഠനത്തിന് കാരണമായത്. അതേസമയം, dotmobiregistry.net ഡൊമെയ്ൻ 2023 ഡിസംബറിൽ ഡീകമ്മീഷൻ ചെയ്ത് പുറത്തിറക്കി, ഇത് രജിസ്ട്രേഷന് ലഭ്യമാക്കി.

ഗവേഷകർ 20 ഡോളർ ചെലവഴിച്ച് ഈ ഡൊമെയ്ൻ വാങ്ങി, തുടർന്ന് അവരുടെ സെർവറിൽ whois.dotmobiregistry.net എന്ന വ്യാജ WHOIS സേവനം ആരംഭിച്ചു. അതിശയകരമെന്നു പറയട്ടെ, പല സിസ്റ്റങ്ങളും പുതിയ ഹോസ്റ്റായ whois.nic.mobi ലേക്ക് മാറിയില്ല, പക്ഷേ പഴയ പേര് ഉപയോഗിക്കുന്നത് തുടർന്നു. ഈ വർഷം ഓഗസ്റ്റ് 30 മുതൽ സെപ്റ്റംബർ 4 വരെ, പഴയ പേരിനായുള്ള 2.5 ദശലക്ഷം അന്വേഷണങ്ങൾ രേഖപ്പെടുത്തി, 135-ത്തിലധികം അദ്വിതീയ സിസ്റ്റങ്ങളിൽ നിന്ന് അയച്ചു.

അഭ്യർത്ഥനകൾ അയച്ചവരിൽ തപാൽ സെർവറുകൾ WHOIS, സുരക്ഷാ കമ്പനികൾ, സുരക്ഷാ പ്ലാറ്റ്‌ഫോമുകൾ (VirusTotal, Group-IB), സർട്ടിഫിക്കേഷൻ അതോറിറ്റികൾ, ഡൊമെയ്ൻ വെരിഫിക്കേഷൻ സേവനങ്ങൾ, SEO സേവനങ്ങൾ, ഡൊമെയ്ൻ രജിസ്ട്രാറുകൾ (ഉദാ. domain.com, godaddy.com, who.is, whois.ru, smallseo.tools, seocheki.net, centralops.net, name.com, urlscan.io, webchart.org) എന്നിവ വഴി ഇമെയിലുകളിൽ ദൃശ്യമാകുന്ന ഡൊമെയ്നുകൾ പരിശോധിച്ച സർക്കാർ, സൈനിക സംഘടനകൾ.

".MOBI" ഡൊമെയ്ൻ സോണിനു വേണ്ടി പഴയ WHOIS സേവനത്തിലേക്കുള്ള അഭ്യർത്ഥനയ്ക്ക് മറുപടിയായി ഏത് ഡാറ്റയും അയയ്ക്കാനുള്ള കഴിവ്, അഭ്യർത്ഥന നടത്തുന്നവർക്കെതിരെ നിരവധി തരം ആക്രമണങ്ങൾ വികസിപ്പിക്കുന്നതിന് ഉപയോഗപ്പെടുത്തി. ദീർഘകാലമായി നിലച്ച സേവനത്തിനായി ആരെങ്കിലും അഭ്യർത്ഥിക്കുന്നത് തുടരുകയാണെങ്കിൽ, ദുർബലതകൾ അടങ്ങിയ കാലഹരണപ്പെട്ട ഉപകരണങ്ങൾ ഉപയോഗിച്ചാണ് അവർ അങ്ങനെ ചെയ്യുന്നതെന്ന അനുമാനത്തിന്റെ അടിസ്ഥാനത്തിലായിരുന്നു ആദ്യ ആക്രമണം.

ഉദാഹരണത്തിന്, 2015-ൽ, phpWHOIS-ൽ CVE-2015-5243 എന്ന ദുർബലത കണ്ടെത്തി, ഇത് WHOIS സെർവർ നൽകിയ പ്രത്യേകമായി തയ്യാറാക്കിയ ഡാറ്റ പാഴ്‌സ് ചെയ്യുമ്പോൾ ആക്രമണകാരിയുടെ കോഡ് നിർവ്വഹണം അനുവദിക്കുന്നു. മറ്റൊരു ഉദാഹരണം CVE-2021-32749 എന്ന ദുർബലതയാണ്, ഇത് 2021-ൽ Fail2Ban പാക്കേജിൽ കണ്ടെത്തി, ഇത് ഒരു തടയൽ മുന്നറിയിപ്പ് സൃഷ്ടിക്കാൻ ഉപയോഗിക്കുന്ന WHOIS സേവനം തെറ്റായ ഡാറ്റ തിരികെ നൽകുമ്പോൾ ബാഹ്യ കോഡ് നിർവ്വഹണത്തിന് അനുവദിക്കുന്നു (WHOIS വഴി ഹോസ്റ്റ് അഡ്മിനിസ്ട്രേറ്ററുടെ ഇമെയിൽ വിലാസം Fail2Ban നിർണ്ണയിക്കുകയും പ്രത്യേക പ്രതീകങ്ങൾ ശരിയായി ഒഴിവാക്കാതെ മെയിൽ കമാൻഡ് പ്രവർത്തിപ്പിക്കുമ്പോൾ അത് വ്യക്തമാക്കുകയും ചെയ്തു).

ഡൊമെയ്ൻ രജിസ്ട്രാറുടെ ഡാറ്റാബേസിൽ ലിസ്റ്റ് ചെയ്തിരിക്കുന്ന ഒരു ഇമെയിൽ വിലാസം വഴി ഡൊമെയ്ൻ ഉടമസ്ഥാവകാശം പരിശോധിക്കാനുള്ള കഴിവ് വാഗ്ദാനം ചെയ്യുന്ന ചില CA-കളെയാണ് രണ്ടാമത്തെ ആക്രമണം ആശ്രയിക്കുന്നത്, WHOIS പ്രോട്ടോക്കോൾ വഴി അവ ആക്‌സസ് ചെയ്യാവുന്നതാണ്. ഈ സ്ഥിരീകരണ രീതിയെ പിന്തുണയ്ക്കുന്ന നിരവധി CA-കൾ ".MOBI" ഡൊമെയ്ൻ എക്സ്റ്റൻഷനു വേണ്ടി പഴയ WHOIS സെർവർ ഉപയോഗിക്കുന്നത് തുടരുന്നതായി ഇത് മാറുന്നു.

അങ്ങനെ, whois.dotmobiregistry.net എന്ന പേരിൽ നിയന്ത്രണം നേടിയാൽ, ആക്രമണകാരികൾക്ക് അവരുടെ ഡാറ്റ വീണ്ടെടുക്കാനും, പരിശോധന നടത്താനും, TLS സർട്ടിഫിക്കറ്റ് .MOBI സോണിലെ ഏതൊരു ഡൊമെയ്‌നിനും." ഉദാഹരണത്തിന്, പരീക്ഷണ സമയത്ത്, ഗവേഷകർ GlobalSign രജിസ്ട്രാറിൽ നിന്ന് microsoft.mobi ഡൊമെയ്‌നിനായി ഒരു TLS സർട്ടിഫിക്കറ്റ് അഭ്യർത്ഥിച്ചു, കൂടാതെ സാങ്കൽപ്പിക WHOIS സേവനം നൽകിയ "whois@watchTowr.com" എന്ന ഇമെയിൽ ഒരു ഡൊമെയ്‌ൻ ഉടമസ്ഥാവകാശ പരിശോധനാ കോഡ് അയയ്‌ക്കുന്നതിന് ലഭ്യമാണെന്ന് ഇന്റർഫേസിൽ പ്രദർശിപ്പിച്ചു.

അവലംബം: opennet.ru