Хакеры захватили домены Google после компрометации реестров ccTLD

Исследователи в области информационной безопасности зафиксировали серию атак на инфраструктуру национальных доменов верхнего уровня (ccTLD), в результате которых злоумышленники смогли перехватить управление доменами, связанными с Google. Атака затронула доменные зоны Ганы, Американского Самоа и Сьерра-Леоне — регионов, чьи реестры обслуживаются сторонними операторами. Инцидент демонстрирует сохраняющуюся уязвимость цепочки доверия DNS даже для крупных технологических компаний.

Подробности

По данным источника, хакеры получили несанкционированные HTTPS-сертификаты для нескольких доменов Google. Это стало возможным после того, как злоумышленники скомпрометировали сторонних операторов, отвечающих за обслуживание реестров ccTLD, и модифицировали авторитетные DNS-записи. Изменение записей на авторитетных серверах позволяет перенаправлять трафик, предназначенный легитимным ресурсам, на подконтрольную атакующим инфраструктуру. Национальные домены верхнего уровня нередко администрируются небольшими организациями или передаются на аутсорс внешним подрядчикам, что снижает общий уровень защищённости по сравнению с крупными реестрами. Компрометация такого оператора даёт злоумышленникам возможность вносить изменения в зону без прямого взлома целевых сервисов. Выдача HTTPS-сертификатов для доменов, находящихся под контролем атакующих, дополнительно повышает убедительность поддельных ресурсов, поскольку браузеры отображают такие страницы как доверенные. В опубликованном сообщении не приводятся конкретные номера CVE, версии затронутых продуктов или точный перечень доменов Google. Также не уточняется, были ли сертификаты впоследствии отозваны центрами сертификации. Известно, что атака была направлена именно на реестры ccTLD, а не на инфраструктуру Google напрямую.

Что делать

Организациям и пользователям рекомендуется усилить контроль за целостностью DNS-инфраструктуры и не полагаться исключительно на HTTPS-сертификат как на гарантию подлинности ресурса. Владельцам доменов следует: — регулярно проверять авторитетные DNS-записи своих зон и отслеживать несанкционированные изменения; — внедрять DNSSEC для защиты от подмены записей; — использовать мониторинг прозрачности сертификатов (Certificate Transparency) для своевременного обнаружения выдачи подозрительных сертификатов на свои домены; — применять MFA для доступа к панелям управления регистраторов и реестров; — оценивать надёжность сторонних операторов, обслуживающих доменные зоны, и требовать от них соблюдения базовых практик безопасности. Пользователям стоит быть внимательными при переходе по ссылкам на домены в национальных зонах Ганы, Американского Самоа и Сьерра-Леоне, особенно если речь идёт об авторизации или вводе учётных данных. Итог: инцидент подтверждает, что слабое звено в защите крупных сервисов часто находится не в их собственной инфраструктуре, а у сторонних подрядчиков. Компрометация реестров ccTLD способна подорвать доверие к доменной системе в целом.

Источник: BleepingComputer