Abertura
Em data recente, pesquisadores da Malwarebytes Labs identificaram que grupos de criminosos digitais comprometeram três namespaces de códigos de país, obtendo certificados SSL/TLS que podem ser usados para criar sites falsos de serviços amplamente reconhecidos, entre eles o Google. O ataque permite que os fraudadores apresentem páginas que parecem legítimas, aumentando a eficácia de campanhas de phishing e de coleta de credenciais.
Contexto
A prática de registrar domínios de nível superior (TLD) com códigos de país tem sido alvo de abusos devido à menor vigilância em alguns registros. Historicamente, atores maliciosos exploram falhas na verificação de identidade dos registrantes para obter controle sobre domínios que, por sua extensão, são percebidos como confiáveis pelos usuários. Nesse cenário, a obtenção de certificados digitais válidos eleva ainda mais o nível de credibilidade das páginas falsas, pois os navegadores exibem o cadeado de segurança quando o certificado está em ordem.
Impacto
Empresas e usuários finais podem ser enganados ao acessar endereços que reproduzem a aparência de serviços como o Google, Gmail ou Google Drive, sem perceber que estão em um ambiente controlado por criminosos. A escala do comprometimento, envolvendo três códigos de país diferentes, indica que o risco não está limitado a uma região geográfica específica. Organizações que dependem de autenticação baseada em domínios podem enfrentar vazamento de credenciais, enquanto indivíduos podem ter suas informações pessoais expostas. Até o momento, não há relatos de incidentes confirmados, mas a possibilidade de ataques direcionados aumenta a preocupação das equipes de segurança.
Detalhes técnicos
A técnica utilizada pelos invasores baseia‑se na exploração de vulnerabilidades nos processos de registro de domínios de código de país. Ao conseguir acesso administrativo aos registros, os criminosos solicitaram certificados digitais junto a autoridades certificadoras que seguem o padrão de validação de domínio (DV). Como o domínio já estava sob controle dos atacantes, a autoridade certificadora emitiu os certificados sem detectar a origem maliciosa. Na prática, o certificado permite que o site apresente criptografia TLS válida, ocultando a natureza fraudulenta da página. Os certificados podem ser instalados em servidores controlados pelos invasores, que então replicam a interface de serviços populares, inserindo scripts de captura de credenciais ou redirecionamentos para malware.
Encerramento
Especialistas recomendam que organizações revisem suas políticas de verificação de domínios e adotem mecanismos de autenticação multifator para reduzir o impacto de possíveis comprometimentos. Além disso, a monitorização de certificados emitidos para domínios críticos pode ajudar a identificar rapidamente atividades suspeitas. A Malwarebytes Labs continuará acompanhando o caso e divulgará atualizações conforme novas informações surgirem. A comunidade de segurança deve permanecer atenta a domínios recém‑registrados que imitam marcas reconhecidas, reforçando a importância de práticas de navegação segura.