Hacker nutzen indische Regierungsdomains, um illegale Glücksspielseiten über die Google-Suche zu verbreiten

Was passiert ist

Wie die Angreifer ursprünglich Zugang erlangten, ist nach wie vor unbekannt; gestohlene Zugangsdaten, Insider-Zugriff oder kompromittierte DNS-Anbieter (das System, das einen Domainnamen in eine Adresse übersetzt) sind Möglichkeiten, aber keine bestätigten Erkenntnisse. Forscher beobachteten eine ähnliche Delegation mit online.esic.gov.in.

Infoblox-Forscher identifizierten zwei voneinander unabhängige Operationen, die institutionelle Namensräume für Suchmaschinenoptimierung ausnutzten. Hacker haben indische Regierungs- und Bildungsdomains missbraucht, um illegale Glücksspielseiten über die Google-Suche zu bewerben. Dabei nutzten sie unautorisierte DNS-Änderungen, um bösartige Subdomains einzurichten, während die legitimen Websites weiterhin betriebsbereit blieben. Google ist ein Internet- und Softwareunternehmen mit Sitz in Mountain View, dessen Produkte und Dienste unter anderem die Google-Suche umfassen.

Eine weitere Delegation übertrug regierungseigene Subzonen an Nameserver von Drittanbietern und ermöglichte so eine umfassendere Kontrolle über untergeordnete DNS-Einträge.

Cyber Security News, 3 Min. Die Technik nennt sich Domain Shadowing und erlaubt Angreifern, die Domain einer Organisation zu missbrauchen, ohne deren primäre Website zu verändern.

Die Kampagne der indischen Regierung betraf maharashtra.gov.in, wo unautorisierte NS-Einträge die Subzonen gam, games, search, live und dpboss an ClouDNS-Nameserver delegierten. Eine Gruppe mit dem Namen Hidden Hawk ordnete einzelne Hostnamen extern gehosteten Glücksspielseiten zu.

Illegale Glücksspielseiten Anders als einzelne DNS-Aliase übertrugen diese Delegationen die maßgebliche Kontrolle über ganze Subzonen außerhalb der DNS-Umgebung der Regierung. Ein Wildcard-Eintrag unterhalb von gam.maharashtra.gov.in ließ zudem beliebige untergeordnete Namen auflösen, was zahlreiche glücksspielbezogene Hostnamen ermöglichte.