Новости: Сотни поддоменов Microsoft могли попасть в руки злоумышленников
13.03.2020

Сотни поддоменов Microsoft могли попасть в руки злоумышленников

Сотни поддоменов Microsoft могли попасть в руки злоумышленников Сотни поддоменов Microsoft могли попасть в руки злоумышленников

Эксперты сервиса Vulnerability, осуществляющего анализ и мониторинг проблем сети Интернет в реальном времени, обнаружили подверженность поддоменов Microsoft атаке подмены DNS-ответа. В результате эксплуатации уязвимости пользователь может быть переадресован на фишинговый сайт, вместо искомого сайта Microsoft, и подвержен другим типам мошенничества и атак через веб-сервисы (XSS, перехват ввода платежных данных и т.д.) Данной атаке подвержены и другие крупные компании, кроме Microsoft.

Механизм атаки 

Программное обеспечение DNS-сервера bind версии 9.8.1 и выше имеет функцию Response Policy Zone (RPZ), позволяющую операторам связи реализовать механизм простой политики DNS-ответов, например, блокирование или перенаправление DNS-запросов к ресурсам на альтернативный адрес. Эксперты группы компаний Angara поясняют, что эта функция делает возможным переадресацию на нужную пользователю web-страницу, даже если он не полностью или некорректно ввел URL, но на него есть правило переадресации у провайдера. По мнению экспертов, такой механизм открывает возможности для злоумышленника реализовать атаки.

Как может быть реализована атака

Включается использование механизма RPZ, создается политика переадресации нужного вам адреса, например, habrahabr.ru, на другой нужный вам домен, например, badguy.ru. После внесения изменений в настройки, адрес habrahabr.ru будет резолвиться в badguy.ru. Далее RPZ зона передается между провайдерами DNS через DNS AXFR/IXFR. Таким образом, провайдер решает вопрос переадресации или блокирования определенных ресурсов.

Рекомендации

Обнаруженный список доменов был передан в компанию Microsoft исследователями из Vullnerability и отфильтрован — на текущий момент уязвимость устранена в Microsoft. Но проблема может затрагивать и другие крупные ресурсы — пользователю необходимо быть внимательнее.

Механизмом защиты от подобных атак является бдительность пользователя к фишинговым приемам. Эксперты группы компаний Angara и Microsoft советуют обращать внимание на следующие вещи:

  • Наличие SSL. Сертификат должен быть действующим и выпущен доверенным центром сертификации, например, Microsoft подписан DigiCert.

Вас должно насторожить:

  • Безличное обращение к вам. Например, когда вы уже вошли в аккаунт, а система обозначает вас как  «господин», без конкретного имени. 

  • Наличие опечаток или пунктуационных ошибок на страницах запроса данных. 

  • Наличие фраз, призванных ускорить ваши действия и принять необдуманное предложение: «срочно», «только сейчас», или эффект «супер предложений», и другие традиционные для фишинга семантические обороты.

Администраторам DNS-ресурсов эксперты Angara Technologies Group рекомендуют отслеживать поддомены и регулярно удалять неиспользуемые записи.

Другие новости

  • 13.03.2020

    11 марта группа компаний Angara провела для руководителей и специалистов по информационной безопасности очередную бизнес-встречу ИБ.Среда на тему «Как мы строим SOC».

  • 12.03.2020

    Ведущие эксперты отдела систем мониторинга и реагирования Angara Technologies Group Александр Носарев и Тимур Зиннятуллин сравнили события Windows и Sysmon. Результаты их изысканий опубликованы на Habr.com.

  • 11.03.2020

    Эксперты группы компаний Angara изучили ряд исследований и выделили основные тренды кибератак на IoT-устройства.

Присоединиться к #AngaraTeam!