Een beveiligingsonderzoeker van Seralys heeft een mogelijkheid ontdekt om de DNS-server te vervalsen voor het domein mastercard.com, dat wordt gebruikt in de infrastructuur van het betalingssysteem MasterCard. Sinds juni 2020 was er een typfout aanwezig in de instellingen van de domein zone van mastercard.com - in de lijst van DNS-servers die de zone bedienen, was in plaats van de host 'a22-65.akam.net' (DNS-service van Akamai) de host 'a22-65.akam.ne' opgegeven. De root zone '.ne' is toegewezen aan de Republiek Niger en het domein 'akam.ne' was beschikbaar voor verkoop.
Dus, gedurende vierƫnhalf jaar kon iedereen officieel een host 'a22-65.akam.ne' aanmaken, een DNS-server opzetten, zijn eigen versie van de DNS-zone mastercard.com creƫren en ieder subdomein van mastercard.com naar zijn server omleiden. DNSSEC werd niet gebruikt voor mastercard.com. Aangezien de typfout is gemaakt in de naam van een van de vijf DNS-servers, zou bij een succesvolle aanval minstens 1/5 van het verkeer kunnen worden gecontroleerd. De dekking kan worden vergroot door een hoge TTL (Time To Live) voor de vervalste zone in te stellen, wat zou leiden tot een langere opslag van records in de cache van openbare resolvers, zoals die door Cloudflare (1.1.1.1) en Google (8.8.8.8) worden ondersteund.
Naast het onderscheppen van verkeer van bestaande hosts, kon er een minder zichtbare aanval worden uitgevoerd door een oorspronkelijk ontbrekend subdomein te gebruiken voor phishing, bijvoorbeeld door een host 'redemtion.mastercard.com' aan te maken en deze in spam te gebruiken in plaats van het legitieme toegangspunt 'redemption.mastercard.com'. Daarnaast, door controle te hebben over een van de DNS-servers die het domein mastercard.com bedient, kon men toegang krijgen TLS-certificaat tot diensten die domeinverificatie via Web of DNS toestaan, zoals Letās Encrypt. Onder de mogelijke aanvalscenario's wordt ook het opzetten van een vervalste mailserver genoemd voor het onderscheppen van correspondentie van email naam@mastercard.com en het organiseren van het onderscheppen van authenticatiegegevens van computers van medewerkers die Windows gebruiken.
Een onderzoeker die problemen ontdekte, kocht de domeinnaam "akam.ne" voor $300 en startte daarop een DNS-sniffer om het verkeer te evalueren. De analyse van de ontvangen verzoeken toonde aan dat de zaak met MasterCard niet de enige was en dat er andere domeinzones zijn die in de lijst van DNS-servers "akam.ne" hebben vermeld in plaats van "akam.net". Bovendien werd vastgesteld dat de domeinnaam "akam.ne" van 2015 tot 2018 was geregistreerd en waarschijnlijk werd gebruikt voor het uitvoeren van aanvallen. De veronderstelling over aanvallen werd gedaan omdat de eerdere eigenaar van "akam.ne" ook de domeinnaam "awsdns-06.ne" registreerde, die is gestileerd naar de DNS-server "awsdns-06.net". Het falen van een van de DNS-servers met een typfout in de naam kan lange tijd onopgemerkt blijven door de beheerders, omdat de fouttolerantie wordt gewaarborgd door het opgeven van meerdere DNS-servers.
Het bedrijf MasterCard negeerde aanvankelijk het probleem, maar na contact met journalist Brian Krebs erkende en corrigeerde het de fout, waarbij het verklaarde dat de fout geen bedreiging vormde voor de infrastructuur. Daarna ontving de onderzoeker via de service Bugcrowd, die een vergoeding biedt voor ontdekte kwetsbaarheden, een verzoek van MasterCard om de gepubliceerde notitie over het voorval te verwijderen.
In reactie daarop verklaarde de onderzoeker dat hoewel hij een account heeft bij de service Bugcrowd, hij geen aanvragen voor beloningen heeft ingediend en het bedrijf MasterCard rechtstreeks van het probleem op de hoogte heeft gesteld. De notitie was gepubliceerd om aandacht te vestigen op het probleem nadat het bedrijf MasterCard al geen bedreigingen meer ondervond en de domeinnaam "akam.ne" toebehoorde aan de onderzoeker. Uiteindelijk compenseerde MasterCard niet alleen de $300 die aan de domeinnaam was besteed niet, maar bedankte de onderzoeker zelfs niet met woorden.
Wat betreft de bewering dat de fout geen extra risico's creƫerde, verwees de onderzoeker naar statistieken van de ontvangen DNS-verzoeken waarin domeinen *.az.mastercard.com worden genoemd, die wijzen op operationele componenten van de MasterCard-infrastructuur die zijn gehost in de cloudservice van Microsoft Azure. De compromis van dergelijke componenten zou kennelijk een kritieke bedreiging voor de veiligheid vormen.
Bron: opennet.ru
