Um especialista em segurança da empresa Seralys identificou uma vulnerabilidade na troca do servidor DNS para o domínio mastercard.com, utilizado na infraestrutura do sistema de pagamento MasterCard. Nos registros da zona do domínio mastercard.com havia um erro desde junho de 2020 — na lista de servidores DNS responsáveis pela zona, ao invés do host «a22-65.akam.net» (serviço DNS Akamai), foi especificado o host «a22-65.akam.ne». A zona raiz «.ne» pertence à República do Níger e o domínio «akam.ne» acabou sendo disponibilizado para venda.
Assim, durante quatro anos e meio, qualquer pessoa poderia comprar um domínio «akam.ne», criar um host «a22-65.akam.ne», implementar um servidor DNS nele, criar sua própria versão da zona DNS mastercard.com e redirecionar qualquer subdomínio do mastercard.com para seu servidor. O DNSSEC não foi utilizado para mastercard.com. Como o erro ocorreu no nome de um dos cinco servidores DNS, em caso de um ataque bem-sucedido, era possível obter controle de pelo menos 1/5 do tráfego. O alcance poderia ser ampliado estabelecendo um TTL (Time To Live) grande para a zona forjada, o que resultaria em um maior tempo de retenção dos registros no cache de resolvedores públicos, como os suportados pelas empresas Cloudflare (1.1.1.1) e Google (8.8.8.8).
Além de interceptar o tráfego de hosts existentes, um ataque menos perceptível poderia ser realizado utilizando um subdomínio inicialmente inexistente para organizar phishing, por exemplo, criando um host «redemtion.mastercard.com» e utilizando-o em spam em vez do legítimo ponto de entrada «redemption.mastercard.com». Entre outras coisas, tendo controle sobre um dos servidores DNS responsáveis pelo domínio mastercard.com, era possível obter Certificado TLS em serviços que permitissem a verificação de propriedade do domínio via Web ou DNS, como o Let’s Encrypt. Entre os cenários de ataque possíveis também se menciona a criação de um servidor de e-mail forjado para interceptar correspondências de e-mail com o nome@mastercard.com e a organização da interceptação de dados de autenticação a partir de computadores de funcionários que utilizam Windows.
O pesquisador que descobriu os problemas comprou o domínio "akam.ne" por $300 e lançou um sniff de DNS para avaliar o volume de tráfego. A análise das solicitações recebidas mostrou que o caso com a MasterCard não era único e que existem outras zonas de domínio cuja lista de servidores DNS aponta para o host "akam.ne" em vez de "akam.net". Além disso, foi descoberto que de 2015 a 2018 o domínio "akam.ne" foi registrado e, provavelmente, utilizado para realizar ataques. A suposição sobre os ataques foi feita pois o ex-proprietário de "akam.ne" também registrou o domínio "awsdns-06.ne", que é estilizado como o servidor DNS "awsdns-06.net". A falha de um dos servidores DNS, devido a um erro de digitação no nome, pode passar despercebida por longos períodos pelos administradores, uma vez que a redundância é garantida pela designação de vários servidores DNS.
A empresa MasterCard inicialmente ignorou a mensagem sobre o problema, mas após ser contatada pelo jornalista Brian Krebs, reconheceu e corrigiu o erro, afirmando que o problema não apresentava uma ameaça à infraestrutura. Em seguida, através do serviço Bugcrowd, que permite a obtenção de recompensas por vulnerabilidades descobertas, o pesquisador recebeu um pedido da MasterCard para remover a nota publicada sobre o incidente.
Em resposta, o pesquisador afirmou que embora possuísse uma conta no serviço Bugcrowd, ele não enviou solicitações para recompensas, mas notificou diretamente a empresa MasterCard sobre o problema. A nota foi publicada para chamar a atenção para o problema após a MasterCard já não estar mais em perigo e o domínio "akam.ne" pertencer ao pesquisador. Como resultado, a empresa MasterCard não apenas não compensou os $300 gastos no domínio, mas também não agradeceu o pesquisador, nem mesmo verbalmente.
Quanto à afirmação de que o erro não criava riscos adicionais, o pesquisador apresentou estatísticas das solicitações DNS recebidas, nas quais figuram os domínios *.az.mastercard.com, que apontam para componentes ativos da infraestrutura da MasterCard, localizados no serviço de nuvem da Microsoft Azure. A comprometimento de tais componentes, aparentemente, representava uma ameaça crítica à segurança.
Fonte: opennet.ru
