Bij cside monitoren we websites continu op verdachte activiteiten, zodat we gebruikers kunnen beschermen voordat aanvallen plaatsvinden. Onlangs ontdekten we een interessant geval bij een bekende website: Oracle.
Tijdens het beoordelen van een van Oracle's publieke JavaScript-bestanden merkten we dat het een verwijzing bevatte naar een domein dat is verlopen.
[https://www.oracle.com/asset/web/js/settings-v2.js](https://www.oracle.com/asset/web/js/settings-v2.js)
Deze blog belicht de risico's van vergeten of verlopen domeinen in client-side code. Dit is geen oud of zeldzaam probleem — het kan zowel grote als kleine bedrijven overkomen en kan gemakkelijk de deur openzetten voor een supply chain-aanval.
Opmerking: Ons team heeft deze bevinding gemeld aan Oracle, die het snel heeft verholpen. Het doel van deze blog is om de beveiligingsimplicaties vanuit een defensief standpunt te onderzoeken. Het mag niet worden geïnterpreteerd als richtlijn voor exploitatie of de ontwikkeling van nieuwe aanvalsmethoden.
Het verlopen domein in kwestie
Sommige delen van dit gedeelte zijn in de tegenwoordige tijd geschreven, omdat ze rechtstreeks zijn overgenomen uit gesprekken met onze beveiligingsanalist.
Het verlopen domein is:
ociforums.com
Het bezoeken ervan leidt nu door naar:
https://expireddomains.com/domain/ociforums.com
(De screenshot is gemaakt op het moment van ontdekking; dit is inmiddels verholpen.)
In het JavaScript-bestand van Oracle staat een verwijzing naar:
http://ccc.ociforums.com/
Deze link verschijnt in de websitecode als onderdeel van een bericht dat aan gebruikers wordt getoond wanneer er geen live chat-agents beschikbaar zijn. Omdat het domein is verlopen en te koop staat, kan iedereen het kopen en voor kwaadaardige doeleinden gebruiken.
Waarom dit verlopen domein een beveiligingsrisico was
Dit is het exacte fragment uit het bestand:
ocFeedback: {
en: "Sorry, no agents are available... post your question at <a href='http://ccc.ociforums.com/'>http://ccc.ociforums.com/</a>..."
}
Dit bericht wordt getoond aan gebruikers die al op zoek zijn naar hulp. Zij zullen de link eerder vertrouwen als een legitieme Oracle-ondersteuningspagina. Als een aanvaller het domein zou kopen, kunnen er verschillende risico's optreden:
- Phishing: De aanvaller kan een nep-forum aanmaken dat eruitziet als dat van Oracle en gebruikers verleiden hun accountgegevens te delen.
- Malware-hosting: Het domein kan kwaadaardige downloads leveren of exploit kits uitvoeren.
- SEO-misbruik: Omdat het domein mogelijk nog goede zoekresultaten heeft, kan het verschijnen in zoekopdrachten naar Oracle-ondersteuning en mensen naar de nep-site leiden.
- Merkschade: Als gebruikers worden misleid, kunnen ze Oracle de schuld geven en het vertrouwen in het merk verliezen.
Langetermijnrisico: De link is hardcoded in de JavaScript, wat betekent dat elke site die deze widget gebruikt een update nodig heeft. Als dit niet snel wordt gepatcht, duurt de blootstelling voort.
Voorbeeld van een aanvalsscenario
- Een gebruiker probeert Oracle-ondersteuning te bereiken, maar er zijn geen agents beschikbaar.
- Het bericht vertelt hen om ccc.ociforums.com te bezoeken.
- Het domein is nu in handen van een aanvaller.
- De gebruiker klikt en wordt gevraagd in te loggen met hun Oracle-gegevens.
- De aanvaller verzamelt de gegevens en kan ook malware leveren of andere oplichting uitvoeren.
Wat het cside-team heeft gedaan
We hebben contact opgenomen met Oracle en hen geïnformeerd over het verlopen domein. Ze hebben het domein vervolgens zeer snel teruggekocht en ons vermelding gegeven in hun beveiligingsrapportageprogramma's. We prijzen Oracle voor hun snelle reactie.
Deze situatie laat zien hoe de complexiteit van websites en de blootstelling over tijd een uitdaging kunnen worden, zelfs voor organisaties die indrukwekkend goed zijn voorbereid op beveiligingsincidenten. Client-side beveiliging is een vaak over het hoofd gezien gebied, en dat geldt helaas voor bedrijven van alle groottes.
Wat een aanval via een verlopen domein had kunnen voorkomen?
Als we het scenario uitspelen waarbij een aanvaller daadwerkelijk toegang tot dit domein had gekregen: zowel CSP als SRI hadden dit gemist.
CSP en SRI zouden falen:
CSP (Content Security Policy) en SRI (Sub Resource Integrity) zijn veelgebruikte client-side verdedigingsmechanismen. CSP valideert waar verzoeken vandaan komen, niet of de bestemming nog steeds veilig is. De browser staat het verzoek toe, ongeacht wie het domein nu bezit. SRI waarborgt de integriteit van bestanden alleen wanneer de ontwikkelaar de resource beheert. In dit geval was de verwijzing een hyperlink die in de gebruikersinterface werd weergegeven, geen externe scriptafhankelijkheid die door een hash werd beschermd.
Client-side beveiliging detecteert tekenen van een aanval via een verlopen domein:
Een client-side beveiligingsplatform zoals cside observeert continu hoe scripts zich tijdens runtime gedragen. Als een domein plotseling omleidingen begint uit te voeren, toetsaanslagen registreert, onverwachte JavaScript serveert of ongebruikelijke responspatronen vertoont, wordt de gedragsverandering onmiddellijk als een rode vlag gemarkeerd. Er wordt een melding gegenereerd voor beveiligingsteams om te onderzoeken.
