Microsoft.com 等微软系网站被发现存在子域劫持问题
NIC.gp 的安全研究员和开发人员 Michel Gaschet 于近日提出，Microsoft 在其数千个子域的管理方面存在问题，存在有许多子域可以被劫持并用于攻击用户、员工或显示垃圾内容。据 ZDNet 报道称，Gaschet 在接受其采访时说，在过去三年中，他一直在向 Microsoft 报告带有错误配置的 DNS 记录的子域，但该公司要么忽略报告，要么就是默默地保护某些子域。
Gaschet 表示，他已经在 2017 年向微软报告了 21 个容易受到劫持的 msn.com 子域 [1, 2]，并在 2019 年报告了 142 个错误配置的 microsoft.com 子域 [1, 2]。此外，他还分享了其于去年向微软报告的 117 个 microsoft.com 子域列表。
Gaschet 透露，在其报告的所有错误配置的子域中，微软仅解决了其中的几个，被修复的数量占比只有他所报告数量的 5％-10％ 左右。并称，该操作系统制造商通常会修复较大的子域，例如 cloud.microsoft.com 和 account.dpedge.microsoft.com，却使其他子域暴露在劫持之下。
他还表示，大多数 Microsoft 子域在其各自的 DNS 条目中容易受到基本错误配置的攻击。Gaschet 称，“根本原因/错误是忘记了 DNS 条目，指向不再存在或根本不存在的内容，例如 DNS 条目内容中的错字。”
Gaschet 在 Twitter 上指出，至少有一个垃圾邮件小组已经发现了他们可以劫持 Microsoft 的子域，并通过将其托管在信誉良好的域中来增加其垃圾内容。并表明，他已在至少四个合法的 Microsoft 子域中发现了印度尼西亚扑克赌场的广告，分别为 portal.ds.microsoft.com、perfect10.microsoft.com、ies.global.microsoft.com 和 blog-ambassadors.microsoft.com。
目前，ZDNet 已向微软征求意见，并要求该公司在当日的 Twitter 话题中对 Gaschet 提出的一系列问题发表评论。
Gaschet 在 Twitter 上猜测，微软不优先解决这些问题的原因之一是因为“subdomain takeovers”不属于公司的漏洞悬赏计划的一部分，这意味着即使所报告的问题很严重，这些报告也不会得到优先处理。
同时，Gaschet 敦促微软改变其管理 DNS 记录的方式。并称，这是造成这些错误配置的主要原因。
（稿源：开源中国，封面源自 *** 。）
“Microsoft.com 等微软系网站被发现存在子域劫持问题” 的相关文章
新型 LokiLocker 勒索软件会擦除整个 PC 上的文件
黑莓威胁情报（BlackBerry Threat Intelligence）团队刚刚发出警报 —— 一款自 2021 年 8 月存续至今的 LokiLocker 勒索软件，正在互联网上传播肆虐。据悉，该恶意软件采用了 AES + RSA 的加密方案，若用户拒绝在指定期限内支付赎金，它就会擦除其 PC...
微软捣毁 ZLoader 犯罪僵尸网络
微软今天宣布近日捣毁了一个名为 ZLoader 的主要犯罪僵尸网络，这也是使用 XLM 宏作为攻击面的僵尸网络之一。微软的最新行动包括技术和法律活动，以破坏利用 ZLoader 作为恶意软件即服务（malware-as-a-service）的犯罪集团的运作。 在本次捣毁行动中，微软还锁定了一位开发...
CISA 发布 AA22-103A 新警报：警惕针对 ICS/SCADA 设备的 APT 网络攻击
本周三，包括美国能源部（DOE）、网络安全和基础设施安全局（CISA）和联邦调查局（FBI）在内的多个机构，向关键基础设施运营商发出了严重的潜在攻击警报。近年来，某些持续威胁（APT）参与者创建了许多定制工具，并在针对工业控制系统（ICS）、监控和数据采集设备（SCADA）等关键基础设施的攻击事件中...
微软警告 NOBELIUM 攻击技术愈加泛滥 谨防 HTML 代码夹带恶意软件
早在 5 月，微软就认定有俄罗斯背景的 NOBELIUM 黑客组织要对持续数月的 SolarWinds 网络攻击事件负责，并同企业、政府和执法机构达成了合作，以遏制此类网络攻击的负面影响。早些时候，微软更进一步地剖析了 NOBELIUM 使用的一套更加复杂的恶意软件传送方法。可知其用于造成破坏，并获...
Chrome 新增 Privacy Guide：帮用户理解和实施安全设置
适用于桌面 PC 和笔记本的 Chrome 稳定版将新增“Privacy Guide”功能，它将帮助该网络浏览器的用户理解和实施隐私、安全和在线安全设置。虽然 Chrome 浏览器一直有大部分的这些设置，但现在 Google 声称隐私和安全控制应该更容易理解。 图片链接：https://static...
Log4Shell 重创 Kronos 私有云服务：打乱公司运作 影响节前工资发放
一场严重的勒索软件危机打乱了很多大公司的运作，一些工人则担忧无法在圣诞假期前拿到最后一笔工资。而这一切的魁首就是近期臭名昭著的 Log4Shell 攻击，这让劳务解决方案公司 Kronos 可能要面临持续数周的业务中断。这一安全事件已经影响了纽约市地铁交通局、本田公司、GameStop 等机构的人力...
评论列表
发表评论
