Atacantes sequestram ccTLDs para se passar por domínios do Google

Pesquisadores de segurança descobriram um ataque sofisticado no qual agentes de ameaça comprometeram os controles administrativos de três registros de domínios de código de país (ccTLD). Ao obter acesso não autorizado aos registros dos domínios .gh (Gana), .sl (Serra Leoa) e .as (Samoa Americana), os atacantes conseguiram emitir certificados HTTPS com aparência legítima para domínios pertencentes ao Google.

Embora o Google tenha confirmado que nenhum de seus sistemas internos foi violado, o incidente demonstra como vulnerabilidades em autoridades de certificação externas e processos de registro de domínios podem ser exploradas para realizar ataques convincentes de impersonação. Esses certificados permitiriam que atores maliciosos apresentassem sites falsos como serviços legítimos do Google, mantendo a aparência de conexões seguras e criptografadas.

Vulnerabilidades nas Autoridades de Certificação

• Os atacantes utilizaram registros de ccTLD comprometidos para solicitar certificados por canais legítimos
• Os certificados pareciam válidos e permitiam criptografia HTTPS completa para domínios do Google falsificados
• Esse método ignora os avisos tradicionais de validação de domínio que os usuários esperariam de sites fraudulentos
• Explora as relações de confiança entre registros, registradores e autoridades de certificação

Implicações para a Segurança Corporativa

• As organizações devem auditar seus processos de emissão de certificados e listas de ACs confiáveis
• Destaca a importância de monitorar a emissão não autorizada de certificados para domínios corporativos
• Enfatiza a necessidade de autenticação multifator robusta em todas as contas de registros e provedores de DNS
• Demonstra o valor dos logs de Transparência de Certificados para detecção precoce de certificados suspeitos

Fontes

• Atacantes sequestram os registros .gh, .sl e .as para obter certificados para domínios do Google