Злоумышленники получили доступ к управлению национальными реестрами доменных зон Ганы (.GH), Американского Самоа (.AS) и Сьерра-Леоне (.SL). Изменив DNS-записи, хакеры перенаправили трафик с ряда доменов, включая ресурсы Google, на подконтрольные им серверы.
Контроль над DNS позволил атакующим проходить проверку центров сертификации и получать валидные HTTPS-сертификаты. Это дало возможность создавать подставные сайты, которые браузеры распознавали как легитимные и безопасные ресурсы.
Google заблокировала скомпрометированные сертификаты в браузере Chrome через систему CRLSets. После анализа логов Certificate Transparency корпорация выявила пострадавшие домены других крупных брендов и также внесла их сертификаты в черный список.
В компании подчеркнули, что внутренние системы Google не были скомпрометированы. Тем не менее, защита через CRLSets работает только в Chrome, поэтому пользователи других браузеров остаются уязвимыми при посещении поддельных сайтов.
Для защиты от подобных атак Google рекомендует владельцам доменов настраивать запись Certification Authority Authorization (CAA). Это не предотвращает захват DNS, но ограничивает возможность получения новых сертификатов после восстановления контроля над доменом.
