Forskare frÄn företaget watchTowr Labs publicerade resultaten av ett experiment som involverade uppfÄngandet av en förÄldrad WHOIS-tjÀnst frÄn registratorn för domÀnzonen '.MOBI'. Anledningen till undersökningen var att registratorn Àndrade adressen till WHOIS-tjÀnsten, och flyttade den frÄn domÀnen whois.dotmobiregistry.net till den nya vÀrden whois.nic.mobi. Samtidigt slutade domÀnen dotmobiregistry.net anvÀndas och frigjordes i december 2023, vilket gjorde den tillgÀnglig för registrering.
Forskarna spenderade 20 dollar och köpte denna domÀn, varefter de startade sin egen falska WHOIS-tjÀnst whois.dotmobiregistry.net pÄ sin server. Det var förvÄnande att mÄnga system inte bytte till den nya vÀrden whois.nic.mobi och fortsatte att anvÀnda det gamla namnet. FrÄn den 30 augusti till den 4 september i Är registrerades 2,5 miljoner förfrÄgningar med det gamla namnet, skickade frÄn mer Àn 135 000 unika system.
Bland avsÀndarna av förfrÄgningar fanns posttjÀnster servrar frÄn statliga och militÀra organisationer som kontrollerade de domÀner som nÀmns i e-post genom WHOIS, företag och plattformar specialiserade pÄ sÀkerhet (VirusTotal, Group-IB), samt certifikatdomÀner, domÀntjÀnster, SEO-tjÀnster och domÀnregistratorer (t.ex. domain.com, godaddy.com, who.is, whois.ru, smallseo.tools, seocheki.net, centralops.net, name.com, urlscan.io och webchart.org).
Möjligheten att skicka vilken information som helst som svar pÄ en förfrÄgan till den gamla WHOIS-tjÀnsten för domÀnzonen '.MOBI' anvÀndes för att utveckla flera typer av attacker mot avsÀndarna av förfrÄgningar. Den första attackvarianten baserades pÄ antagandet att om nÄgon fortsÀtter att skicka förfrÄgningar till en lÀnge utbytt tjÀnst, sÄ gör de troligtvis detta med hjÀlp av förÄldrad utrustning som innehÄller sÄrbarheter.
Till exempel, i phpWHOIS upptÀcktes en sÄrbarhet CVE-2015-5243 Är 2015, vilket gör det möjligt för angriparen att exekvera kod vid tolkning av speciellt formatterad data som returnerades av WHOIS-servern. Ett annat exempel Àr den sÄrbarhet som upptÀcktes Är 2021, CVE-2021-32749, i paketet Fail2Ban, som möjliggör exekvering av extern kod vid ÄterlÀmnande av felaktiga data frÄn WHOIS-tjÀnsten som anvÀnds vid skapandet av en blockering varning (Fail2Ban identifierade via WHOIS administratorns e-post och angav den vid körning av mail-kommandot utan korrekt escaping av specialtecken).
Den andra attacken bygger pÄ att vissa certifieringsmyndigheter erbjuder möjligheten att verifiera Àgande av domÀnen via e-postadressen som anges i domÀnregistrators databas, som Àr tillgÀnglig via WHOIS-protokollet. Det visade sig att flera certifieringsmyndigheter som stöder denna verifieringsmetod fortfarande anvÀnder en gammal WHOIS-server för domÀnzonen ".MOBI".
DÀrmed, genom att fÄ kontroll över namnet whois.dotmobiregistry.net, kan angriparna ÄterlÀmna sina data, genomföra bekrÀftelse och fÄ TLS-certifikat för vilken domÀn som helst i zonen .MOBI. Till exempel, under ett experiment begÀrde forskarna ett GlobalSign TLS-certifikat för domÀnen microsoft.mobi och den returnerade falska WHOIS-tjÀnstens e-post "whois@watchTowr.com" visades i grÀnssnittet som tillgÀnglig för att skicka koden för att bekrÀfta Àgandet av domÀnen.
KĂ€lla: opennet.ru
