Hackers obtiveram certificados HTTPS não autorizados para vários domínios do Google e sequestraram domínios nos ccTLDs de Gana, Samoa Americana e Serra Leoa. Para isso, comprometeram operadores terceirizados e alteraram registros DNS autoritativos.
O Google ressaltou que os ataques afetaram domínios de outras organizações nos ccTLDs .GH, .SL e .AS, mas “não envolveram o comprometimento dos sistemas do Google”.
Com acesso aos registros do sistema de nomes de domínio (DNS), um agente de ameaça pode solicitar a uma Autoridade Certificadora (CA) um certificado HTTPS para um domínio que não lhe pertence.
As autoridades certificadoras emitem certificados após verificar a propriedade do domínio. Em geral, o processo exige que o solicitante crie um registro TXT com um valor aleatório fornecido pela autoridade.
A alteração dos registros DNS autoritativos permitiu que o agente de ameaça direcionasse domínios .GH, .SL e .AS para uma infraestrutura sob seu controle e obtivesse certificados TLS válidos para esses domínios.
Com isso, o invasor pôde se passar por marcas legítimas e exibir conteúdo arbitrário aos visitantes dos domínios afetados.
O Google bloqueou imediatamente no Chrome os certificados não autorizados associados a seus serviços, usando o CRLSets, e trabalhou com as autoridades emissoras para revogá-los. A medida também ampliou a proteção para usuários de outros clientes.
A empresa afirmou que seus sistemas não foram afetados pelo incidente e que não tem motivos para acreditar que as autoridades certificadoras emissoras tenham agido de forma imprópria.
Após analisar os registros de Transparência de Certificados (CT), o Google bloqueou certificados adicionais que pareciam estar relacionados aos ataques e notificou as organizações afetadas sempre que possível.
“Depois da nossa resposta inicial, os dados dos registros de Transparência de Certificados (CT) revelaram outras organizações que acreditamos terem sido afetadas pelos mesmos ataques, incluindo várias marcas globais de destaque e serviços on-line amplamente utilizados”, explicou o Google.
“Para proteger os usuários desses sites o mais rápido possível, bloqueamos proativamente esses certificados no Chrome.”
O CRLSets é um “mecanismo de emergência” do Chrome que permite bloquear rapidamente certificados HTTPS revogados ou considerados não confiáveis. Os usuários do Chrome não precisam tomar nenhuma medida para se proteger deste incidente.
O Google, porém, alerta que talvez não tenha identificado todos os domínios afetados. Por isso, as listas de bloqueio atuais podem não abranger todas as ameaças potenciais.
A empresa também lembrou que o CRLSets protege apenas usuários do Chrome. Quem usa outros navegadores pode não estar protegido.
“Devido à complexidade dos sequestros de DNS, não podemos garantir que nossa análise tenha identificado todos os domínios afetados. Além disso, as medidas adotadas no Chrome não protegem de forma confiável os usuários de outros navegadores”, afirmou o Google.
O Google recomenda que os proprietários de domínios:
- Monitorem os registros de CT de todo o conjunto de domínios, inclusive os domínios estacionados.
- Publiquem registros restritivos de Autorização de Autoridades Certificadoras (CAA), conforme necessário, para limitar a emissão a contas ACME e métodos de validação autorizados.
Segundo o Google, os registros DNS CAA não conseguem impedir a emissão de certificados durante um sequestro de DNS em andamento. No entanto, eles evitam a obtenção de certificados adicionais com dados de validação de domínio em cache depois que o controle legítimo do DNS é restabelecido.
O comunicado não identificou os responsáveis pelos ataques nem informou quantos certificados tiveram o sequestro confirmado.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...