Bilgisayar korsanları ccTLD kayıt kuruluşlarını ihlal ederek Google alan adlarını ele geçirdi

Google ve BleepingComputer'a göre saldırganlar, üçüncü taraf operatörleri ihlal edip yetkili DNS kayıtlarını değiştirerek Gana (.GH), Sierra Leone (.SL) ve Amerikan Samoası (.AS) ülke kodlu üst düzey alan adlarındaki (ccTLD) alan adlarını ele geçirdi.

Saldırganlar, DNS kayıtları üzerindeki denetimlerini kullanarak etkilenen alan adlarını kendi kontrol ettikleri altyapıya yönlendirdi ve geçerli HTTPS sertifikaları aldı. Bu, markaları taklit etmelerine ve istedikleri içerikleri sunmalarına imkân verebilirdi. Olayda bazı Google alan adları için de yetkisiz sertifikalar alındı; ancak Google, kendi sistemlerinin ihlal edilmediğini söyledi.

Google, CRLSets adlı ve iptal edilmiş veya güvenilmeyen sertifikaları hızla engellemek için kullanılan acil durum mekanizmasıyla kendi alan adlarına ait sertifikaları Chrome'da engelledi ve sertifikaları düzenleyen kurumlarla iptal işlemleri için çalıştı. Certificate Transparency günlüklerini inceledikten sonra saldırılarla bağlantılı olduğuna inanılan ek sertifikaları da engelledi ve mümkün olduğunda etkilenen kuruluşları bilgilendirdi.

Google, etkilenen tüm alan adlarını tespit ettiğini garanti edemeyeceğini söyledi. Ayrıca Chrome müdahalelerinin diğer tarayıcıların kullanıcılarını güvenilir biçimde korumadığını belirtti. Şirkete göre Certification Authority Authorization (CAA) DNS kayıtları, etkin bir DNS ele geçirme saldırısı sırasında sertifika düzenlenmesini önleyemiyor; ancak gerçek DNS denetimi geri alındıktan sonra önbelleğe alınmış alan adı doğrulamasını kullanarak ek sertifikalar alınmasını engelleyebiliyor.

Açıklamada saldırganların kim olduğu veya ele geçirildiği doğrulanan sertifika sayısı belirtilmedi.