Los investigadores de vulnerabilidad encontraron aproximadamente 700 subdominios problemáticos de Microsoft y capturó uno de ellos para demostración.
Michel Gaschet, un especialista en seguridad de la información, informó sobre el problema en febrero, y ha estado informando a Microsoft sobre sus numerosos subdominios vulnerables durante muchos años.
“La empresa tiene miles de subdominios a su disposición., muchos de los cuales pueden ser pirateados y utilizados para atacar a los usuarios, empleados de la propia empresa, así como para distribuir spam, malware, ataques de phishing y otros tipos de fraude”, – escribió Michel Gaschet.
Más amenudo, en tales casos se habla de subdominios con registros DNS configurados incorrectamente. Por lo tanto, Los registros DNS de un subdominio pueden apuntar a un dominio que ya no existe. Como resultado, cualquiera que utilice este dominio inexistente podrá tomar el control del subdominio.
De este modo, un atacante puede redirigir a los visitantes del subdominio capturado a un sitio de phishing, robar sus credenciales y otra información confidencial, engañarlos para que instalen malware, etcétera.
Por ejemplo, el mibrowser.microsoft.com el subdominio apunta a webserver9000.azurewebsites.net aunque esta instancia de servidor se cerró hace mucho tiempo. Exactamente en tales casos, Los atacantes pueden aprovechar los subdominios. Configuran una cuenta de Azure y solicitan el nombre de host webserver9000 o webserver9000.azurewebsites.net.. Como resultado, cuando la gente va a mybrowser.microsoft.com, son redirigidos al servidor web propiedad de los delincuentes9000.azurewebsites.net, donde se pueden ofrecer víctimas, por ejemplo, descargar malware bajo la apariencia de una actualización del navegador.
"Más amenudo, la empresa ignora estos mensajes, o responde a problemas de grandes subdominios, como cloud.microsoft.com y account.dpedge.microsoft.com, pero ignora los más pequeños”, – informó Michel Gaschet.
Ahora, Especialistas en vulnerabilidad de empresas han hablado del mismo problema desde su posición. Crearon un sistema automatizado que escanea todos los subdominios en busca de varios dominios importantes de Microsoft.. Esta exploración reveló más de 670 subdominios que se pueden capturar de acuerdo con el esquema descrito anteriormente.
Aún no se sabe si los piratas informáticos están investigando los subdominios de Microsoft por esta vulnerabilidad., pero definitivamente hay evidencia de que los atacantes scan network for vulnerable Microsoft Exchange servers.
Los expertos adjuntaron un vídeo a su informe que muestra cómo funciona el ataque..
Los investigadores notificaron a Microsoft sobre una docena de subdominios vulnerables, y la empresa tomó medidas para evitar su captura. Entre ellos estaban: identidadhelp.microsoft.com, mibrowser.microsoft.com, editor web.visualstudio.com, datos.teams.microsoft.com y sxt.cdn.skype.com.
Sin embargo, Los investigadores dijeron que no tenían intención de revelar la lista completa., que incluye otro 660+ subdominios problemáticos, hasta que la empresa incluyó este tipo de vulnerabilidades en su programa de recompensas por errores.
