Chiếm quyền registry ccTLD để xin chứng chỉ HTTPS cho tên miền Google
"Attackers compromised the .gh, .sl, and .as ccTLD registries and used the hijacked DNS control to obtain unauthorized domain-validated HTTPS certificates for Google and YouTube names, including google.com.gh, google.sl, and google.as. Google said its own systems were not breached; Chrome blocked the certificates via CRLSets and the issuing CAs revoked them, limiting potential impersonation and encrypted traffic interception."
Ảnh hưởng chính là nguy cơ giả mạo tên miền hợp lệ và chặn/đọc lưu lượng mã hóa nếu chứng chỉ bị lạm dụng; vụ việc cho thấy DNS hijack có thể dẫn tới cấp chứng chỉ trái phép.
Có thể gây gián đoạn uy tín thương hiệu, phát sinh rủi ro lừa đảo người dùng và tăng chi phí kiểm tra, thu hồi, giám sát CT logs; các tổ chức dùng ccTLD liên quan cần xử lý sớm để tránh ảnh hưởng vận hành.
Các tác nhân tấn công đã xâm nhập .gh, .sl và .as registry, từ đó lợi dụng quyền kiểm soát DNS để xin các chứng chỉ HTTPS xác thực tên miền cho một số tên miền của Google và YouTube, gồm google.com.gh, google.sl và google.as. Google cho biết hệ thống nội bộ không bị xâm nhập; rủi ro nằm ở việc kẻ tấn công có thể giả mạo website hợp lệ trên kết nối mã hóa và đọc dữ liệu người dùng nếu chứng chỉ bị lạm dụng.
Theo Certificate Transparency logs, có ít nhất 12 chứng chỉ được cấp trong giai đoạn 22/9–27/9, chủ yếu bởi Let’s Encrypt, và một chứng chỉ do ZeroSSL cấp. Tất cả sau đó đã bị thu hồi; Chrome cũng chặn các chứng chỉ liên quan bằng CRLSets để giảm nguy cơ trên trình duyệt của Google, trong khi các CA đã phối hợp thu hồi để bảo vệ người dùng trên các ứng dụng khác.
Khuyến nghị cho quản trị miền: theo dõi CT logs cho mọi tên miền, kể cả miền phụ và miền theo khu vực; rà soát các chứng chỉ không được yêu cầu; và triển khai CAA record chặt chẽ để giới hạn CA được phép cấp chứng chỉ. Với các tổ chức dùng .gh, .sl hoặc .as, cần kiểm tra ngay lịch sử cấp phát gần đây và xác minh trạng thái DNS/registry.