Recientemente, atacantes lograron comprometer tres dominios de nivel superior de código de país (ccTLDs): .gh (Ghana), .sl (Sierra Leona) y .as (Samoa Americana). Mediante este acceso, obtuvieron certificados HTTPS no autorizados para varios dominios de Google, incluyendo subdominios de google.com.gh, google.sl y google.as, así como de YouTube. Este incidente, aunque no comprometió los sistemas internos de Google, expuso la vulnerabilidad de la infraestructura DNS global y demostró cómo la manipulación de registros de dominio puede llevar a la emisión de certificados fraudulentos.
El ataque se basó en la alteración de los registros DNS autoritativos de los ccTLDs afectados. Al modificar estos registros, los atacantes pudieron simular el control de los dominios ante las Autoridades de Certificación (CA) como Let’s Encrypt y ZeroSSL, las cuales emitieron los certificados. Con un certificado HTTPS ilegítimo, un adversario podría suplantar un sitio web legítimo y establecer conexiones cifradas maliciosas, interceptando datos privados de los usuarios que creían estar interactuando con el sitio real. Google respondió rápidamente bloqueando los certificados no autorizados en Chrome a través de CRLSets (mecanismos para bloquear certificados en navegadores) y coordinando con las CA para su revocación, mitigando el riesgo para sus usuarios.
Para protegerse contra este tipo de ataques, las organizaciones deben implementar medidas proactivas. Es crucial monitorear continuamente los logs de Transparencia de Certificados (CT logs), que son registros públicos de certificados emitidos, para detectar cualquier emisión de certificados no solicitada para sus dominios, incluyendo aquellos con variantes regionales o dominios “aparcados”. Adicionalmente, se recomienda publicar registros CAA (Certification Authority Authorization) estrictos en el DNS. Estos registros especifican qué Autoridades de Certificación están autorizadas para emitir certificados para un dominio, añadiendo una capa de seguridad que, aunque no impide un secuestro DNS inicial, dificulta la reemisión de certificados fraudulentos una vez restablecido el control del DNS.
Qué significa para tu empresa: Este incidente subraya la necesidad crítica de una visibilidad completa y una respuesta rápida ante anomalías en la infraestructura de dominio y certificados. La capacidad de detectar la emisión de certificados fraudulentos o cambios no autorizados en registros DNS es vital para mantener la confianza y la seguridad de sus servicios en línea. Para ello, un SOC con monitoreo 24/7 es fundamental, ya que permite la supervisión constante de la actividad de los certificados y DNS, la detección temprana de indicadores de compromiso y la activación de acciones de mitigación antes de que un incidente escale y afecte la integridad de sus operaciones o la privacidad de sus clientes.
Fuente original: The Hacker News — ver artículo →
#ciberataques-infraestructura#phishing#filtracion-datos#seguridad-nube