Масштабная атака на Google: хакеры захватили домены через взлом госреестров трех стран

Злоумышленники провели точечную кибератаку на администраторов национальных доменных зон Ганы (.GH), Американского Самоа (.AS) и Сьерра-Леоне (.SL). Заполучив доступ к управлению реестрами, хакеры изменили авторитетные DNS-записи, перенаправив запросы к известным ресурсам (включая сервисы Google) на подконтрольные серверы. Представители Google официально заявили, что внутренняя инфраструктура компании затронута не была.

Главная особенность инцидента заключается в выпуске подлинных HTTPS-сертификатов. Удостоверяющие центры верифицируют права на домен через размещение TXT-записи с уникальным токеном. Перехватив управление DNS, атакующие без труда прошли эту проверку и оформили официальные сертификаты, благодаря чему фишинговые сайты воспринимались браузерами как абсолютно безопасные.

Подобная схема дает возможность безупречно копировать оригинальные ресурсы и транслировать пользователям любой вредоносный контент.

Специалисты Google оперативно деактивировали скомпрометированные сертификаты в браузере Chrome посредством технологии CRLSets, которая позволяет экстренно блокировать скомпрометированные ключи без ожидания глобальных обновлений софта. Проанализировав публичные логи Certificate Transparency (CT), IT-гигант выявил и другие пострадавшие транснациональные компании и популярные онлайн-платформы, чьи сертификаты также были внесены в стоп-листы.

Несмотря на принятые меры, эксперты предупреждают: из-за многоуровневого характера инцидента обнаружить все затронутые домены пока не удалось, а механизм CRLSets функционирует исключительно в экосистеме Chrome. Пользователи сторонних браузеров по-прежнему уязвимы при посещении поддельных страниц.

В качестве превентивной меры специалисты советуют владельцам интернет-ресурсов задействовать специальную DNS-запись Certification Authority Authorization (CAA). Хотя она не способна заблокировать мошеннический выпуск сертификатов в момент активного угона DNS, эта мера препятствует созданию новых сертификатов на основе кэшированных данных после восстановления легитимного контроля над доменом.

Источник: iXBT