Уязвимость в УЦ SSL.com позволяет получить сертификат для чужого домена

Уязвимость в УЦ SSL.com позволяет получить сертификат для чужого домена

Уязвимость в УЦ SSL.com позволяет получить сертификат для чужого домена

Воспользовавшись уязвимостью в сервисе SSL.com, исследователь незаконно получил сертификат для aliyun.com, официального сайта Alibaba Cloud. Специалисты УЦ поставлены в известность и готовят патч.

Неправильно выданный сертификат уже аннулирован. Обнаружены и отозваны еще 10 сертификатов, также по ошибке выданные для семи легитимных доменов.

Уязвимость, о которой идет речь, появилась из-за некорректной реализации проверки прав на домен (domain control validation, DCV) с подтверждением по имейл. В рамках этой процедуры заявитель должен создать для целевого домена соответствующую запись DNS TXT (_validation-contactemail).

В ходе проверки на указанный контактный адрес высылается случайное DCV-значение. Его ввод служит основанием для удовлетворения заявки.

Как выяснилось, система SSL.com при этом ошибочно маркирует имя хоста имейл как верифицированный домен, что позволяет получить сертификат для чужого ресурса.

УЦ поблагодарил исследователя за находку и пообещал решить проблему в приоритетном порядке, а также опубликовать подробный отчет об инциденте к началу мая.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Новая атака Lazarus: вредонос через новостные сайты и баги в софте

Эксперты из команды GReAT обнаружили новую целевую атаку, которую провела группа Lazarus. В этот раз пострадали южнокорейские компании — минимум шесть организаций из разных сфер: от ИТ и финансов до производства и телекоммуникаций. Атака получила название Операция SyncHole.

Сначала злоумышленники заразили популярные новостные сайты — с помощью тактики watering hole.

Это когда вредоносный код размещают на легитимных ресурсах, которые часто посещают нужные хакерам пользователи. Потом фильтровали трафик: не всех, а только «интересных» посетителей перенаправляли на свои серверы, где уже запускалась цепочка заражения.

Один из ключевых элементов атаки — использование уязвимости в Innorix Agent. Это местное ПО, которое применяется для передачи файлов и требуется для работы на многих южнокорейских веб-сайтах, особенно в финансовой и госструктуре. Уязвимость позволяла злоумышленникам попасть во внутреннюю сеть и устанавливать туда свои инструменты — например, бэкдор ThreatNeedle и загрузчик LPEClient.

При анализе атаки специалисты обнаружили в Innorix Agent ещё одну, ранее неизвестную уязвимость. Её не успели использовать, но она могла дать возможность загружать произвольные файлы. Об этом оперативно сообщили местному киберрегулятору и производителю ПО. После чего вышло обновление, а уязвимости присвоили идентификатор KVE-2025-0014.

Интересно, что первый тревожный сигнал пришёл ещё до этого: вредоносные программы ThreatNeedle и SIGNBT заметили в корпоративной сети одной из компаний. Они запускались в памяти обычных процессов, например, SyncHost.exe, и маскировались под вспомогательные компоненты браузеров.

Похоже, что во многих случаях начальная точка заражения была связана с программой Cross EX — она используется для работы защитных решений в браузерах. Её уязвимость также была подтверждена и устранена после публикации соответствующего уведомления южнокорейским агентством по кибербезопасности.

Этот случай снова показывает, насколько опасными могут быть сторонние плагины и вспомогательный софт, особенно если оно с региональной спецификой, устаревшее или имеет повышенные права. Такие компоненты часто менее защищены, но при этом глубоко интегрированы в систему, что делает их удобной мишенью.

Проактивный подход к анализу атак, как в этом случае, помогает выявлять уязвимости до того, как они станут активно использоваться.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru