Pesquisadores de vulnerabilidade descobriram sobre 700 subdomínios problemáticos da Microsoft e capturou um deles para demonstração.
Michel Gaschet, um especialista em segurança da informação, relatou sobre o problema de volta em fevereiro, e vem informando a Microsoft sobre seus muitos subdomínios vulneráveis há muitos anos.
“A empresa tem milhares de subdomínios à sua disposição, muitos dos quais podem ser hackeados e usados para atacar usuários, funcionários da própria empresa, bem como para distribuir spam, malware, ataques de phishing e outros tipos de fraude”, – escreveu Michel Gaschet.
Mais frequente, nesses casos, a conversa é sobre subdomínios com registros DNS configurados incorretamente. Portanto, Os registros DNS de um subdomínio podem apontar para um domínio que não existe mais. Como resultado, qualquer pessoa que use este domínio inexistente poderá assumir o controle do subdomínio.
Por isso, um invasor pode redirecionar os visitantes do subdomínio capturado para um site de phishing, roubar suas credenciais e outras informações confidenciais, enganá-los para que instalem malware, e assim por diante.
Por exemplo, o meunavegador.microsoft.com subdomínio aponta para webserver9000.azurewebsites.net embora esta instância do servidor tenha sido fechada há muito tempo. Exatamente nesses casos, os invasores podem aproveitar os subdomínios. Eles configuram uma conta do Azure e solicitam o nome de host webserver9000 ou webserver9000.azurewebsites.net. Como resultado, quando as pessoas acessam mybrowser.microsoft.com, eles são redirecionados para o webserver9000.azurewebsites.net de propriedade dos criminosos, onde as vítimas podem ser oferecidas, por exemplo, baixando malware sob o disfarce de uma atualização do navegador.
"Mais frequente, a empresa ignora essas mensagens, ou responde a problemas de grandes subdomínios, como cloud.microsoft.com e account.dpedge.microsoft.com, mas ignora os menores”, – relatou Michel Gaschet.
Agora, Especialistas em empresas de vulnerabilidade falaram sobre o mesmo problema da posição deles. Eles criaram um sistema automatizado que verifica todos os subdomínios em busca de vários domínios importantes da Microsoft. Esta varredura revelou mais de 670 subdomínios que podem ser capturados de acordo com o esquema descrito acima.
Ainda não se sabe se os hackers estão investigando os subdomínios da Microsoft em busca desta vulnerabilidade, mas há definitivamente evidências de que os invasores scan network for vulnerable Microsoft Exchange servers.
Os especialistas anexaram um vídeo ao seu relatório demonstrando como funciona o ataque.
Pesquisadores notificaram a Microsoft sobre uma dúzia de subdomínios vulneráveis, e a empresa tomou medidas para evitar sua captura. Entre eles estavam: identidadehelp.microsoft.com, meunavegador.microsoft.com, webeditor.visualstudio.com, data.teams.microsoft.com e sxt.cdn.skype.com.
No entanto, os pesquisadores disseram que não pretendiam divulgar a lista completa, que inclui outro 660+ subdomínios problemáticos, até a empresa incluir esses tipos de vulnerabilidades em seu programa de recompensas por bugs.
