Los atacantes secuestraron dominios de los dominios de nivel superior geográficos (ccTLD) de Ghana (.GH), Sierra Leona (.SL) y Samoa Americana (.AS) tras vulnerar a operadores externos y modificar registros DNS autoritativos, según Google y BleepingComputer.
Los atacantes aprovecharon el control de los registros DNS para redirigir los dominios afectados a infraestructura bajo su control y obtener certificados HTTPS válidos. Esto podía permitirles suplantar marcas y servir contenido arbitrario. El incidente también dio lugar a certificados no autorizados para varios dominios de Google, pero la compañía afirmó que sus propios sistemas no fueron vulnerados.
Google bloqueó en Chrome los certificados de sus dominios mediante CRLSets, un mecanismo de emergencia para bloquear rápidamente certificados seleccionados que se hayan revocado o no sean de confianza, y colaboró con las autoridades emisoras para revocarlos. Tras revisar los registros de Certificate Transparency, bloqueó certificados adicionales que, según se cree, estaban relacionados con los ataques y avisó a las organizaciones afectadas cuando fue posible.
Google afirmó que no podía garantizar que hubiera identificado todos los dominios afectados. También señaló que las medidas de Chrome no protegen de forma fiable a los usuarios de otros navegadores. Según la compañía, los registros DNS de Certification Authority Authorization (CAA) no pueden impedir la emisión de certificados durante un secuestro DNS activo, pero sí pueden impedir que se obtengan certificados adicionales mediante una validación de dominio almacenada en caché una vez restablecido el control legítimo del DNS.
El comunicado no identificó a los atacantes ni indicó cuántos certificados se confirmó que habían sido secuestrados.
Comentarios
0Aún no hay comentarios. Escribe el primero.