Hackers hijack Google domains after breaching ccTLD registries
BleepingComputer · 7 oct, 22:50
Atacantes comprometen registros DNS en los registros ccTLD de Ghana, Samoa Americana y Sierra Leone para obtener certificados HTTPS fraudulentos de dominios de Google y otras organizaciones. Los atacantes modificaron los registros DNS autorizados, lo que les permitió solicitar certificados TLS válidos a autoridades certificadoras mediante validación DNS y así suplantar marcas legítimas. Google bloqueó inmediatamente los certificados no autorizados en Chrome mediante CRLSets y trabajó con las autoridades de emisión para revocarlos, pero advierte que otros navegadores no están protegidos.
Los atacantes ganaron acceso a los registros DNS de los registros ccTLD (.GH, .SL, .AS) tras comprometer operadores de terceros. Esto les permitió redirigir dominios hacia infraestructura controlada mientras obtenían certificados TLS válidos a través de autoridades certificadoras, que verifican la propiedad del dominio mediante registros TXT. Google identificó certificados adicionales conectados a los ataques analizando logs de Certificate Transparency y bloqueó de forma proactiva en Chrome aquellos que afectaban a marcas globales líderes y servicios ampliamente utilizados.
Google subraya que sus propios sistemas no fueron comprometidos y que no tiene razones para creer que las autoridades certificadoras actuaron inadecuadamente. Sin embargo, advierte que CRLSets solo protege a usuarios de Chrome y que no puede garantizar haber identificado todos los dominios afectados. Recomienda a propietarios de dominios monitorizar logs de Certificate Transparency en toda su cartera de dominios, incluidos dominios aparcados, y publicar registros CAA restrictivos para limitar la emisión a cuentas ACME autorizadas.
Puntos clave
- Compromiso de registros ccTLD (.GH, .SL, .AS) tras breaching de operadores de terceros
- Obtención de certificados HTTPS válidos mediante modificación de registros DNS autorizados
- Certificados bloqueados en Chrome mediante CRLSets; otros navegadores no protegidos
- Monitorizar Certificate Transparency logs y publicar registros CAA restrictivos como mitigación