Επίθεση από hackers δέχθηκε το Μητρώο Ονομάτων Χώρου με κατάληξη .gr και .ελ

[Retromaniac]

19 ώρες πριν, ZauZ είπε

Δεν μπορώ να καταλάβω 2 πράγματα… Το ένα είναι ποιος είπε ότι κάτι κλάπηκε και το δεύτερο ποιος είπε ότι τα passwords δεν ήταν encrypted. Πόσο μάλλον πως συνδύασες αυτά τα 2 για να καταλήξεις σε ένα ότι νάνε συμπέρασμα... 

 

18 ώρες πριν, ZauZ είπε

Μην είσαι και πολύ σίγουρος για αυτό.

Αναφορά σε κείμενο

Το Μητρώο ονομάτων χώρου με κατάληξη [.gr] και [.ελ] υπέστη επίθεση κατά των πληροφοριακών του συστημάτων. Η επίθεση αυτή είναι τμήμα μιας γενικότερης προσπάθειας, σε διεθνές επίπεδο, να επηρεασθεί αρνητικά η λειτουργία των Μητρώων ονομάτων του διαδικτύου. Από τη διερεύνηση του περιστατικού δεν προέκυψαν στοιχεία για διαρροή δεδομένων προσωπικού χαρακτήρα.
Στο πλαίσιο της προσπάθειας του Μητρώου ονομάτων χώρου με κατάληξη [.gr] και [.ελ] να διασφαλίσει την ακεραιότητα των δεδομένων του, καθώς και να προστατεύσει τους δικαιούχους των διαδικτυακών ονομάτων, προχώρησε σε άμεση αλλαγή των κωδικών εξουσιοδότησης των ονομάτων χώρου [.gr] και [.ελ].
Επιπρόσθετα, ως προληπτικό μέτρο προστασίας, αλλά και συνολικότερα για τη διευκόλυνση των δικαιούχων, σας ενημερώνουμε ότι σύντομα θα τροποποιηθεί η διαδικασία αλλαγής των κωδικών εξουσιοδότησης των ονομάτων χώρου [.gr] και [.ελ].
Σε περίπτωση που επιθυμείτε τη γνωστοποίηση του νέου κωδικού ή την αλλαγή του, μπορείτε να απευθυνθείτε στον καταχωρητή σας.

Από email που μου ήρθε πριν λιγο. Όπως καταλαβαίνεις γνωστοποίηση κωδικού με hasarismeno password δεν γίνεται. Μόνο αλλαγή...
 

Επεξ/σία 20 Απριλίου 2019 από Retromaniac

[Επισκέπτης]

17 ώρες πριν, geiasass είπε

Ασχετος απο cyber security. Μπορει να μου εξηγησει καποιος ποια ειναι η χειροτερη περιπτωση που θα μπορουσε να συμβει σε ενα domain hijacking;

Ειναι ρεαλιστικο το σεναριο του να συμβει κατι τετοιο και να μπω σε ενα γνωστο ελληνικο σαιτ π.χ. για την αγορα ενος κινητου και σε αυτο ακριβως το url να εχει παρει καποιος αλλος τον ελεγχο του σαιτ και ουσιαστικα να παρει τις πληροφοριες της πιστωτικης μου καρτας αν πραγματοποιουσα την αγορα;

Ναι είναι ρεαλιστικό. Αλλά μόνο στην περίπτωση που εισάγεις τα στοιχεία της κάρτας σου στο ίδιο το site. Τα περισσότερα ελληνικά sites σε στέλνουν στο site κάποιας τράπεζας για να εισάγεις στοιχεία κάρτας.

[ANTiL00P]

Στις 20/4/2019 στις 1:09 ΠΜ, geiasass είπε

Μπορει να μου εξηγησει καποιος ποια ειναι η χειροτερη περιπτωση που θα μπορουσε να συμβει σε ενα domain hijacking;

Να κάνεις φορολογική δήλωση στην κίνα.

Επίσης, θα μπορούσες να κάνεις ένα log-in σε web banking για τον α,β λόγο και να διαπιστώσεις λίγο αργότερα ότι έκανες δωρεά το υπόλοιπο του λογαριασμού σου στην ομάδα διάσωσης του λευκού θαλάσσιου ιππόκαμπου "κλουζώ" που εδρεύει στα νησιά φερρόε. 

Θα μπορούσες να μπείς στο αγαπημένο σου νιούζ σάιτ και να διαβάσεις είδήσεις που δέν ισχύουν. Ή ακόμα χειρότερα, να διαβάσεις ειδήσεις που ισχύουν και να κινδύνευε μετά η ζωή σου επειδή ξέρεις πολλά για να σε αφήσουν να ζήσεις >:(

Τέσπα, αυτά καλό είναι να μη γίνενται. :|

[Επισκέπτης]

Domain hijacking σε τράπεζες ή το taxis είναι απίθανο να έχουν διάρκεια γιατί ακόμα κι αν συμβούν είναι πολύ μεγάλοι οργανισμοί και θα το λύσουν άμεσα. Θα μπορούσε όμως να κλαπεί το domain κάποιου ad server και μετά όλα τα μεγάλα sites να σερβίρουν διαφημίσεις με malware.

[Επισκέπτης]

Αυτό δεν είναι χτισμένο πάνω στο άτρωτο linux;

[banned_acc]

Έγινε επίθεση και σε άλλες χώρες. Έχουν στείλει σε όλα τα site την επιστολή;

 

https://www.cretapost.gr/480923/epithesi-chaker-sto-mitroo-onomaton-internet-pou-edrevi-sto-ite/

Τι εννοούν ότι σύντομα θα αλλάξει η διαδικασία αλλαγής των κωδικών ;;;

[TheDevilMayCare]

4 λεπτά πριν, guzel είπε

Έγινε επίθεση και σε άλλες χώρες. Έχουν στείλει σε όλα τα site την επιστολή;

https://www.cretapost.gr/480923/epithesi-chaker-sto-mitroo-onomaton-internet-pou-edrevi-sto-ite/

 

Ναι, θα πρεπει να εχει σταλθει σε ολα

<<<
Σημαντική ενημέρωση - Important notification

Hostmaster Info <[email protected]>
    
3:44 AM (7 hours ago)
    
to me

Αγαπητέ/ή Κύριε/α,

Το Μητρώο ονομάτων χώρου με κατάληξη [.gr] και [.ελ] υπέστη επίθεση κατά των πληροφοριακών του συστημάτων. Η επίθεση αυτή είναι τμήμα μιας γενικότερης προσπάθειας, σε διεθνές επίπεδο, να επηρεασθεί αρνητικά η λειτουργία των Μητρώων ονομάτων του διαδικτύου. Από τη διερεύνηση του περιστατικού δεν προέκυψαν στοιχεία για διαρροή δεδομένων προσωπικού χαρακτήρα.

Στο πλαίσιο της προσπάθειας του Μητρώου ονομάτων χώρου με κατάληξη [.gr] και [.ελ] να διασφαλίσει την ακεραιότητα των δεδομένων του, καθώς και να προστατεύσει τους δικαιούχους των διαδικτυακών ονομάτων, προχώρησε σε άμεση αλλαγή των κωδικών εξουσιοδότησης των ονομάτων χώρου [.gr] και [.ελ].

Επιπρόσθετα, ως προληπτικό μέτρο προστασίας, αλλά και συνολικότερα για τη διευκόλυνση των δικαιούχων, σας ενημερώνουμε ότι σύντομα θα τροποποιηθεί η διαδικασία αλλαγής των κωδικών εξουσιοδότησης των ονομάτων χώρου [.gr] και [.ελ].

Σε περίπτωση που επιθυμείτε τη γνωστοποίηση του νέου κωδικού ή την αλλαγή του, μπορείτε να απευθυνθείτε στον καταχωρητή σας.

Με εκτίμηση,

-----------------------------------------------------------------------
Μητρώο Ονομάτων Internet με κατάληξη .gr και .ελ
Ινστιτούτο Πληροφορικής
Ίδρυμα Τεχνολογίας και Έρευνας
Τηλ.: +30 281 0391450
Φαξ: +30 281 0391451
Email: [email protected]
>>>

[Ilektro]

Στις 19/4/2019 στις 6:44 ΜΜ, Paladin-}LoA{- είπε

Ωραία πράγματα...

Να χεις κανένα ηλεκτρονικό κατάστημα, να σου κάνουν domain hijacking, να στείλουν το traffic σε δικό τους server με hosted ιστοσελίδα δικιά τους που να μοιάζει εξαιρετικά στην original, και να ξεκινήσουν να κλέβουν κωδικούς πελατών, πιστωτικές κλπ. Και εφόσον έχουν κάνει hijack το domain πετάνε και ένα Lets Encrypt δωρεάν certificate, και έχουν ένα πλήρες και ασφαλές site που για τον μέσο χρήστη είναι σχεδόν απίθανο να κατανοήσει ότι δεν είναι το κανονικό...

Ελπίζω πραγματικά να μη κλάπηκαν κωδικοί κλπ... 

Είναι όντως τρομακτικό !

[Paladin-}LoA{-]

Κάποιοι επιπλέον πιθανοί κίνδυνοι από domain hijacking εκτός αυτών που έχω γράψει ήδη :

• Αν στείλουν έναν client σε ιστοσελίδα δικιά τους με σκοπό να κλαπούν προσωπικά στοιχεία, κωδικοί κλπ, μπορούν φυσικά να κάνουν redirect την αγορά από ένα εικονικό καλάθι αγορών σε δικό τους site που να μοιάζει εξαιρετικά σε κάποιο υπάρχον τραπεζικό site. Επομένως μπορούν να κλέψουν και πιστωτικές κάρτες καθότι μπορούν και στο εικονικό τραπεζικό site να βάλουν κάποιο certificate (π.χ. Lets Encrypt που είναι το ευκολότερο και είναι δωρεάν). Φυσικά ο μέσος χρήστης δεν θα καταλάβει τι γίνεται.
• Επιπλέον μπορούν να κάνουν host κάποιο malware, cryptolocker, keylogger κλπ και να οδηγήσουν τον χρήστη σε άλλου είδους προβλήματα.
• Αρκετοί χρησιμοποιούν το ίδιο username και password σε πολλές υπηρεσίες. Επομένως αν π.χ. κάποιος έχει το ίδιο username και password σε υπηρεσίες τύπου π.χ. PayPal σίγουρα θα έχει πρόβλημα. 
• Συνέχεια του #3 είναι επίσης και το γεγονός ότι ορισμένες υπηρεσίες / ιστοσελίδες έχουν βάσεις δεδομένων με προσωπικά στοιχεία χρηστών. Οπότε διαρροή αυτών μπορεί να επιφέρει πρόστιμα στην συγκεκριμένη υπηρεσία βάσει νομοθεσίας της ΕΕ περί προστασίας προσωπικών δεδομένων του χρήστη, ανάλογα βέβαια και με το πως θα συμπεριφερθεί η υπηρεσία αυτή αν ανακαλύψει κάποιο breach, όπως και από το τι compliance ακολουθεί σε θέματα κυβερνοασφάλειας (αν ακολουθεί).

Γενικά να αποφεύγετε να χρησιμοποιείτε ίδιο username και pass σε πολλές υπηρεσίες, και ειδικά σε αυτές που συνδέονται σε οικονομικές συναλλαγές, πάντα να έχετε μοναδικό και αρκετά δυνατό password και 2FA.

Αν θέλετε να δείτε αν κάποιο email/account σας είναι compromised μπορείτε να το ελέγξετε εδώ και αν θέλετε να δείτε αν κάποιος κωδικός σας έχει κλαπεί μπορείτε να το δείτε εδώ, αλλά θα σας πρότεινα φυσικά αν ελέγξετε τον κωδικό και τον δώσετε στην υπηρεσία αυτή που κάνει τον έλεγχο, να τον αλλάξετε μετά. 

Τα email που έλαβαν ορισμένοι ότι ο νέος κωδικός μπορεί να γνωστοποιηθεί από τον εκάστοτε provider μπορεί να να εκληφθεί ως αστείος...

[CyberCr33p]

3 ώρες πριν, Paladin-}LoA{- είπε

Τα email που έλαβαν ορισμένοι ότι ο νέος κωδικός μπορεί να γνωστοποιηθεί από τον εκάστοτε provider μπορεί να να εκληφθεί ως αστείος...

 

O καταχωρητής που βρίσκεται κάποιο .gr domain έχει πρόσβαση στο να δει τον κωδικό εξουσιοδότησης του domain. Οπότε ο καταχωρητής μπορεί να γνωστοποιήσει στον φορέα (έτσι ονομάζεται ο "ιδιοκτήτης" του domain μιας και στα domains δεν υπάρχουν ιδιοκτήτες, αλλά χρήστες για συγκεκριμένο χρονικό διάστημα) τον κωδικό εξουσιοδότησης με κάποιο δικό του σύστημα (π.χ. να το εμφανίζει στο πίνακα διαχείρισης του domain ή να του το στείλει με e-mail) και επίσης μπορεί να στείλει αίτημα μέσα από το διαχειριστικό του μητρώου για να σταλθεί ο κωδικός εξουσιοδότησης (EPP code) στο δηλωμένο e-mail του φορέα.

Παρακάτω είναι η απάντηση του μητρώου όταν του ζητάς τα στοιχεία ενός domain (δεξιά από το <domain:pw> βρίσκεται ο κωδικός - τον έχω προφανώς αλλάξει):

<?xml version="1.0" encoding="UTF-8" standalone="no"?>
<epp xmlns="urn:ietf:params:xml:ns:epp-1.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="urn:ietf:params:xml:ns:epp-1.0 epp-1.0.xsd">
<response>
<result code="1000">
<msg>Command completed successfully</msg>
</result>
<resData>
<domain:infData xmlns:domain="urn:ietf:params:xml:ns:domain-1.0" xsi:schemaLocation="urn:ietf:params:xml:ns:domain-1.0 domain-1.0.xsd">
<domain:name>coderz.gr</domain:name>
<domain:roid>dr-25998-gr</domain:roid>
<domain:status s="ok"/>
<domain:registrant>574_3zTxDTsDnn</domain:registrant>
<domain:ns>
<domain:hostObj>ns1.cretaforce.gr</domain:hostObj>
<domain:hostObj>ns2.cretaforce.gr</domain:hostObj>
</domain:ns>
<domain:clID>chatzaras</domain:clID>
<domain:crID>registry</domain:crID>
<domain:crDate>2000-02-03T23:30:00.0Z</domain:crDate>
<domain:upID>registry</domain:upID>
<domain:upDate>2019-04-18T17:26:26.1Z</domain:upDate>
<domain:exDate>2027-02-02T23:30:00.0Z</domain:exDate>
<domain:trDate>2009-03-30T14:52:05.6Z</domain:trDate>
<domain:authInfo>
<domain:pw>dD2sl2aHm]Zs5{1</domain:pw>
</domain:authInfo>
</domain:infData>
</resData>
<extension>
<extdomain:resData xmlns:extdomain="urn:ics-forth:params:xml:ns:extdomain-1.2" xsi:schemaLocation="urn:ics-forth:params:xml:ns:extdomain-1.2 extdomain-1.2.xsd">
<extdomain:protocol>25998</extdomain:protocol>
<extdomain:bundle>
<extdomain:bundleName chargeable="1" recordType="domain">coderz.gr</extdomain:bundleName>
</extdomain:bundle>
</extdomain:resData>
</extension>
<trID>
<clTRID>ABC-123</clTRID>
<svTRID>31dbebe0-bf2e-410e-952e-49144207fc18</svTRID>
</trID>
</response>
</epp>

 

[Paladin-}LoA{-]

11 ώρες πριν, CyberCr33p είπε

O καταχωρητής που βρίσκεται κάποιο .gr domain έχει πρόσβαση στο να δει τον κωδικό εξουσιοδότησης του domain. Οπότε ο καταχωρητής μπορεί να γνωστοποιήσει στον φορέα (έτσι ονομάζεται ο "ιδιοκτήτης" του domain μιας και στα domains δεν υπάρχουν ιδιοκτήτες, αλλά χρήστες για συγκεκριμένο χρονικό διάστημα) τον κωδικό εξουσιοδότησης με κάποιο δικό του σύστημα (π.χ. να το εμφανίζει στο πίνακα διαχείρισης του domain ή να του το στείλει με e-mail) και επίσης μπορεί να στείλει αίτημα μέσα από το διαχειριστικό του μητρώου για να σταλθεί ο κωδικός εξουσιοδότησης (EPP code) στο δηλωμένο e-mail του φορέα.

Παρακάτω είναι η απάντηση του μητρώου όταν του ζητάς τα στοιχεία ενός domain (δεξιά από το <domain:pw> βρίσκεται ο κωδικός - τον έχω προφανώς αλλάξει):

<?xml version="1.0" encoding="UTF-8" standalone="no"?>
<epp xmlns="urn:ietf:params:xml:ns:epp-1.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="urn:ietf:params:xml:ns:epp-1.0 epp-1.0.xsd">
<response>
<result code="1000">
<msg>Command completed successfully</msg>
</result>
<resData>
<domain:infData xmlns:domain="urn:ietf:params:xml:ns:domain-1.0" xsi:schemaLocation="urn:ietf:params:xml:ns:domain-1.0 domain-1.0.xsd">
<domain:name>coderz.gr</domain:name>
<domain:roid>dr-25998-gr</domain:roid>
<domain:status s="ok"/>
<domain:registrant>574_3zTxDTsDnn</domain:registrant>
<domain:ns>
<domain:hostObj>ns1.cretaforce.gr</domain:hostObj>
<domain:hostObj>ns2.cretaforce.gr</domain:hostObj>
</domain:ns>
<domain:clID>chatzaras</domain:clID>
<domain:crID>registry</domain:crID>
<domain:crDate>2000-02-03T23:30:00.0Z</domain:crDate>
<domain:upID>registry</domain:upID>
<domain:upDate>2019-04-18T17:26:26.1Z</domain:upDate>
<domain:exDate>2027-02-02T23:30:00.0Z</domain:exDate>
<domain:trDate>2009-03-30T14:52:05.6Z</domain:trDate>
<domain:authInfo>
<domain:pw>dD2sl2aHm]Zs5{1</domain:pw>
</domain:authInfo>
</domain:infData>
</resData>
<extension>
<extdomain:resData xmlns:extdomain="urn:ics-forth:params:xml:ns:extdomain-1.2" xsi:schemaLocation="urn:ics-forth:params:xml:ns:extdomain-1.2 extdomain-1.2.xsd">
<extdomain:protocol>25998</extdomain:protocol>
<extdomain:bundle>
<extdomain:bundleName chargeable="1" recordType="domain">coderz.gr</extdomain:bundleName>
</extdomain:bundle>
</extdomain:resData>
</extension>
<trID>
<clTRID>ABC-123</clTRID>
<svTRID>31dbebe0-bf2e-410e-952e-49144207fc18</svTRID>
</trID>
</response>
</epp>

Το γνωρίζω φίλε μου αλλά σε τέτοιες περιπτώσεις είναι πολύ ασφαλέστερο να στείλεις ένα OTP στον τελικό χρήστη μέσω πχ SMS και να τον αφήσεις να αλλάξει κωδικό μονος του μόλις δώσει το OTP,  παρά να στέλνεις κωδικούς μέσω email. Πώς μπορεί να γνωρίζει το ΙΤΕ ότι εσύ πχ δεν έχεις βαλει τον ίδιο κωδικό που πιθανον να εχει κλαπει και στο email σου. Αν σου στείλουν νέο κωδικό μέσω email και ο επιτιθέμενος ξέρει τον κωδικό του email σου δώρον άδωρον...

Όχι ότι είμαι οπαδός του κωδικού μέσω SMS αφού και τα SMS  gateways μπορούν να γίνουν στόχος επιθέσεων,  αλλά στην προκειμένη περίπτωση θα ήταν σίγουρα ασφαλέστερο σαν επιλογή. Επιπλέον μου προξενεί εντύπωση ότι το ΙΤΕ μπορει και στελνει σε plain text τους κωδικους στον καταχωρητή. Σε συνδυασμό με την υποψία τους ότι εκλάπησαν κωδικοί σε κάνει να σκέφτεσαι ότι μάλλον τους αποθηκεύουν σε  plain text ή χρησιμοποιούν κάποιο απλό hashing algorithm (πχ md5). 

Επεξ/σία 22 Απριλίου 2019 από Paladin-}LoA{-

[Retromaniac]

17 λεπτά πριν, Paladin-}LoA{- είπε

Το γνωρίζω φίλε μου αλλά σε τέτοιες περιπτώσεις είναι πολύ ασφαλέστερο να στείλεις ένα OTP στον τελικό χρήστη μέσω πχ SMS και να τον αφήσεις να αλλάξει κωδικό μονος του μόλις δώσει το OTP,  παρά να στέλνεις κωδικούς μέσω email. Πώς μπορεί να γνωρίζει το ΙΤΕ ότι εσύ πχ δεν έχεις βαλει τον ίδιο κωδικό που πιθανον να εχει κλαπει και στο email σου. Αν σου στείλουν νέο κωδικό μέσω email και ο επιτιθέμενος ξέρει τον κωδικό του email σου δώρον άδωρον...

Όχι ότι είμαι οπαδός του κωδικού μέσω SMS αφού και τα SMS  gateways μπορούν να γίνουν στόχος επιθέσεων,  αλλά στην προκειμένη περίπτωση θα ήταν σίγουρα ασφαλέστερο σαν επιλογή. Επιπλέον μου προξενεί εντύπωση ότι το ΙΤΕ μπορει και στελνει σε plain text τους κωδικους στον καταχωρητή. Σε συνδυασμό με την υποψία τους ότι εκλάπησαν κωδικοί σε κάνει να σκέφτεσαι ότι μάλλον τους αποθηκεύουν σε  plain text ή χρησιμοποιούν κάποιο απλό hashing algorithm (πχ md5). 

Τι σε κάνει να σκέφτεσαι; 100% είναι σε plain text. Security από τα lidl...