Hackare kapar Google-domäner efter intrång hos ccTLD-register

Angripare tog över domäner i landskodstoppdomänerna (ccTLD) för Ghana (.GH), Sierra Leone (.SL) och Amerikanska Samoa (.AS) efter att ha gjort intrång hos tredjepartsoperatörer och ändrat auktoritativa DNS-poster, enligt Google och BleepingComputer.

Angriparna använde kontrollen över DNS-posterna för att omdirigera berörda domäner till infrastruktur de kontrollerade och skaffa giltiga HTTPS-certifikat. Det kunde göra det möjligt för dem att imitera varumärken och visa valfritt innehåll. Händelsen ledde även till obehöriga certifikat för flera Google-domäner, men Google uppgav att företagets egna system inte hade komprometterats.

Google blockerade certifikat för sina domäner i Chrome med CRLSets, en nödmekanism för att snabbt blockera utvalda återkallade eller betrodda certifikat, och samarbetade med de utfärdande instanserna om återkallelse. Efter att ha granskat Certificate Transparency-loggar blockerade företaget fler certifikat som tros ha koppling till attackerna och underrättade berörda organisationer där det var möjligt.

Google uppgav att företaget inte kunde garantera att det hade identifierat alla berörda domäner. Företaget påpekade också att Chromes åtgärder inte på ett tillförlitligt sätt skyddar användare av andra webbläsare. Enligt Google kan Certification Authority Authorization (CAA) DNS-poster inte hindra certifikatutfärdande under ett pågående DNS-kapningsangrepp, men de kan hindra att fler certifikat skaffas med cachad domänvalidering när den legitima DNS-kontrollen har återställts.

I tillkännagivandet identifierades inte angriparna och det angavs inte hur många certifikat som bekräftats kapade.