Эксперты сервиса Vulnerability, осуществляющего анализ и мониторинг проблем сети Интернет в реальном времени, обнаружили подверженность поддоменов Microsoft атаке подмены DNS-ответа. В результате эксплуатации уязвимости пользователь может быть переадресован на фишинговый сайт, вместо искомого сайта Microsoft, и подвержен другим типам мошенничества и атак через веб-сервисы (XSS, перехват ввода платежных данных и т.д.) Данной атаке подвержены и другие крупные компании, кроме Microsoft.
Механизм атаки
Программное обеспечение DNS-сервера bind версии 9.8.1 и выше имеет функцию Response Policy Zone (RPZ), позволяющую операторам связи реализовать механизм простой политики DNS-ответов, например, блокирование или перенаправление DNS-запросов к ресурсам на альтернативный адрес. Эксперты группы компаний Angara поясняют, что эта функция делает возможным переадресацию на нужную пользователю web-страницу, даже если он не полностью или некорректно ввел URL, но на него есть правило переадресации у провайдера. По мнению экспертов, такой механизм открывает возможности для злоумышленника реализовать атаки.
Как может быть реализована атака
Включается использование механизма RPZ, создается политика переадресации нужного вам адреса, например, habrahabr.ru, на другой нужный вам домен, например, badguy.ru. После внесения изменений в настройки, адрес habrahabr.ru будет резолвиться в badguy.ru. Далее RPZ зона передается между провайдерами DNS через DNS AXFR/IXFR. Таким образом, провайдер решает вопрос переадресации или блокирования определенных ресурсов.
Рекомендации
Обнаруженный список доменов был передан в компанию Microsoft исследователями из Vullnerability и отфильтрован — на текущий момент уязвимость устранена в Microsoft. Но проблема может затрагивать и другие крупные ресурсы — пользователю необходимо быть внимательнее.
Механизмом защиты от подобных атак является бдительность пользователя к фишинговым приемам. Эксперты группы компаний Angara и Microsoft советуют обращать внимание на следующие вещи:
-
Наличие SSL. Сертификат должен быть действующим и выпущен доверенным центром сертификации, например, Microsoft подписан DigiCert.
Вас должно насторожить:
-
Безличное обращение к вам. Например, когда вы уже вошли в аккаунт, а система обозначает вас как «господин», без конкретного имени.
-
Наличие опечаток или пунктуационных ошибок на страницах запроса данных.
-
Наличие фраз, призванных ускорить ваши действия и принять необдуманное предложение: «срочно», «только сейчас», или эффект «супер предложений», и другие традиционные для фишинга семантические обороты.
Администраторам DNS-ресурсов эксперты Angara Technologies Group рекомендуют отслеживать поддомены и регулярно удалять неиспользуемые записи.
