Για περισσότερα από 4 χρόνια, η υποδομή της MasterCard παρέμενε ευάλωτη λόγω ενός σφάλματος που επέτρεψε την πλαστογράφηση του διακομιστή DNS του. Αυτή η αποτυχία εντοπίστηκε από έναν ειδικό σε θέματα ασφάλειας στη Seralys, ο οποίος αναφέρει ότι το πρόβλημα προήλθε από ένα τυπογραφικό λάθος στη διαμόρφωση από την υποδομή πληρωμών της MasterCard, καθώς το DNSSEC δεν εφαρμόζεται.
Από τον Ιούνιο του 2020, στη λίστα των διακομιστών DNS που είναι υπεύθυνοι για τη διαχείριση της ζώνης, αντί να συμπεριληφθεί σωστά το "a22-65.akam.net" από το Akamai, Το "a22-65.akam.ne" καταχωρήθηκε εσφαλμένα. Αυτό το μικρό σφάλμα αποδείχθηκε σημαντικό, καθώς το ".ne" αντιστοιχεί στον τομέα ανώτατου επιπέδου της Δημοκρατίας του Νίγηρα και το "akam.ne" ήταν διαθέσιμο για αγορά.
Αυτό σημαίνει ότι, Για περισσότερα από τέσσερα χρόνια, οποιοσδήποτε θα μπορούσε να αποκτήσει το "akam.ne", Διαμόρφωσε έναν διακομιστή DNS και χειρίστηκε τη ζώνη DNS της Mastercard και ανακατευθύνει τη νόμιμη κυκλοφορία από οποιονδήποτε υποτομέα του ιστότοπου σε κακόβουλους διακομιστές. Επιπλέον, εφόσον η Mastercard δεν εφάρμοσε το DNSSEC, ένα μέτρο ασφαλείας που προστατεύει την ακεραιότητα των εγγραφών DNS, ένας εισβολέας θα μπορούσε να χειριστεί τουλάχιστον το ένα πέμπτο της επισκεψιμότητας του τομέα, καθώς το ελάττωμα επηρέασε έναν από τους πέντε εγγεγραμμένους διακομιστές DNS. .
Για να επαληθεύσετε τον αντίκτυπο της ευπάθειας, Ο ερευνητής αγόρασε τον τομέα για 300 $ και το ανέπτυξε στο ένας ανιχνευτής DNS με στόχο την ανάλυση του όγκου της επισκεψιμότητας που κατευθύνεται σε αυτήν τη διεύθυνση. Τα αποτελέσματα αποκάλυψαν ότι η MasterCard δεν ήταν η μόνη που επηρεάστηκε, καθώς και άλλες ζώνες τομέα είχαν το ίδιο τυπογραφικό λάθος, ανακατευθύνοντας την επισκεψιμότητα στο "akam.ne" αντί για το "akam.net". Επιπλέον, ανακαλύφθηκε ότι μεταξύ 2015 και 2018, αυτός ο τομέας καταχωρήθηκε και πιθανώς χρησιμοποιήθηκε για κακόβουλους σκοπούς.. Η υποψία ότι χρησιμοποιήθηκε σε επιθέσεις ενισχύεται από το γεγονός ότι ο πρώην ιδιοκτήτης του είχε επίσης καταχωρήσει το "awsdns-06.ne", του οποίου η δομή μιμείται το "awsdns-06.net", έναν νόμιμο διακομιστή DNS των Υπηρεσιών Ιστού της Amazon.
Αυτοί οι τύποι αποτυχιών μπορούν να περάσουν απαρατήρητες για μεγάλα χρονικά διαστήματα, καθώς η διαμόρφωση πολλών διακομιστών DNS διασφαλίζει την ανοχή σφαλμάτων. Σε αυτή την περίπτωση, Η MasterCard αρχικά αγνόησε την ειδοποίηση του ερευνητή σχετικά με το πρόβλημα. Ωστόσο, Μετά από παρέμβαση του δημοσιογράφου Μπράιαν Κρεμπς, η εταιρεία αναγνώρισε την ευπάθεια και τη διόρθωσε., αν και υποβάθμισε τη σοβαρότητά του δηλώνοντας ότι δεν συνιστούσε κίνδυνο για τις υποδομές. Στη συνέχεια, η MasterCard ζήτησε την αφαίρεση της δημόσιας αναφοράς για το περιστατικό μέσω του Bugcrowd, μιας πλατφόρμας που διαχειρίζεται ανταμοιβές για τον εντοπισμό τρωτών σημείων.
Προκειμένου να επιβεβαιωθεί ότι το σφάλμα δεν αντιπροσώπευε σημαντικό κίνδυνο, παρουσίασε στατιστικά στοιχεία των ληφθέντων ερωτημάτων DNS, όπου εντοπίστηκαν αιτήματα που απευθύνονταν σε τομείς του τύπου *.az.mastercard.com. Αυτοί οι τομείς συνδέθηκαν με στοιχεία που φιλοξενούνται στο Microsoft Azure cloud, υποδεικνύοντας ότι ο συμβιβασμός τους θα μπορούσε να είχε σοβαρές συνέπειες για την ασφάλεια της υποδομής της MasterCard.
El Η πιθανή επίδραση αυτού του σφάλματος είναι σημαντική, από επέτρεψε σε οποιονδήποτε να ελέγξει έναν από τους πέντε διακομιστές DNS, ένας εισβολέας θα μπορούσε να έχει εκτρέψει τουλάχιστον το 20% της κίνησης που προοριζόταν για τη Mastercard. Επιπλέον, ορίζοντας υψηλό TTL (Time to Live) στη πλαστογραφημένη ζώνη DNS, οι κακόβουλες εγγραφές θα μπορούσαν να παραμείνουν προσωρινά αποθηκευμένες για μεγαλύτερο χρονικό διάστημα σε δημόσιες συσκευές επίλυσης, όπως αυτές από το Cloudflare ή την Google, επεκτείνοντας την εμβέλεια της επίθεσης. Αυτό όχι μόνο θα επέτρεπε την παρακολούθηση της κυκλοφορίας, αλλά και τη δημιουργία δόλιων υποτομέων για καμπάνιες ηλεκτρονικού ψαρέματος (phishing).
Επιπλέον, Ο έλεγχος σε έναν από τους διακομιστές DNS θα διευκόλυνε τη λήψη έγκυρων πιστοποιητικών TLS μέσω υπηρεσιών όπως το Let's Encrypt, οι οποίες επαληθεύουν την ιδιοκτησία του τομέα χρησιμοποιώντας DNS. Αυτό θα άνοιγε την πόρτα σε πιο εξελιγμένες επιθέσεις, όπως η δημιουργία πλαστών διακομιστών αλληλογραφίας. για υποκλοπή επικοινωνιών που αποστέλλονται στις διευθύνσεις @mastercard.com ή λήψη διαπιστευτηρίων ελέγχου ταυτότητας υπαλλήλων που χρησιμοποιούν Windows.
ΟλοκλήρωσηΚαι, αξίζει να αναφέρουμε ότι ο ερευνητής Διευκρίνισε ότι αν και είχε λογαριασμό στο Bugcrowd, δεν ζήτησε ποτέ καμία ανταμοιβή για την ανακάλυψή του και ότι η πρόθεσή τους στη δημοσίευση της αναφοράς ήταν απλώς να ειδοποιήσουν για το πρόβλημα αφού είχε ήδη μετριαστεί και ο τομέας ήταν υπό τον έλεγχό τους. Παρά τη λήψη μέτρων για την προστασία της εταιρείας από πιθανή επίθεση, Δεν έλαβε αποζημίωση για τα 300 δολάρια που ξόδεψε. κατά την αγορά του domain, ούτε καν αναγνώριση για το έργο τους.