Attackers Hijack .gh, .sl, and .as Registries to Obtain Certificates for Google Domains
The Hacker News · 7 oct, 20:48
Atacantes comprometieron tres registros de dominio de nivel superior (.gh, .sl, .as) y obtuvieron certificados HTTPS no autorizados para dominios de Google y YouTube. Google no fue breacheado directamente, pero los atacantes cambiaron registros DNS para demostrar control sobre los dominios ante las autoridades de certificación (Let's Encrypt y ZeroSSL), que emitieron 12 certificados entre el 22 y 27 de septiembre. Chrome bloqueó los certificados mediante CRLSets y Google trabajó con las CAs para revocarlos, aunque otros navegadores y aplicaciones quedaron expuestos durante días.
Los atacantes comprometieron tres ccTLDs (Ghana, Sierra Leona y Samoa Americana) e hijackeron los servidores DNS autorizados. Al modificar los registros DNS, demostraron falsamente el control de los dominios ante las autoridades de certificación, que emitieron certificados domain-validated sin detectar la anomalía. Let's Encrypt emitió 11 certificados y ZeroSSL uno durante los tres días en que las hijacks fueron activas.
La brecha afectó a siete dominios bajo las tres ccTLDs (google.com.gh, google.sl, youtube.sl, etc.). Google detectó la actividad gracias a los registros de Certificate Transparency, que son públicos. El tiempo entre la emisión y la revocación varió desde aproximadamente 1,5 días (certificados .gh) hasta casi una semana (certificados .as). Google indicó que otras organizaciones mundiales también fueron víctimas de los mismos ataques, aunque no las nombró. La empresa no confirmó si los certificados fueron utilizados para suplantar sitios o acceder a datos de usuarios.
Puntos clave
- 12 certificados HTTPS emitidos entre el 22 y 27 de septiembre para google.com.gh, google.sl, youtube.sl, google.as y youtube.as
- Let's Encrypt: 11 certificados; ZeroSSL: 1 certificado
- Revocación completada entre el 26 de septiembre y el 1 de octubre
- Monitorizar Certificate Transparency logs y publicar registros CAA estrictos en DNS
- Otras marcas globales y servicios en línea también comprometidos según Google