Na cside, monitoramos continuamente sites em busca de qualquer atividade suspeita para proteger os usuários antes que ataques aconteçam. Recentemente, identificamos um caso interessante envolvendo um site muito conhecido: a Oracle.
Ao revisar um dos arquivos JavaScript públicos da Oracle, percebemos que ele continha uma referência a um domínio que havia expirado.
[https://www.oracle.com/asset/web/js/settings-v2.js](https://www.oracle.com/asset/web/js/settings-v2.js)
Este blog destaca os riscos de domínios esquecidos ou expirados em código client-side. Esse não é um problema antigo ou raro — ele pode acontecer tanto com grandes quanto com pequenas empresas, e pode facilmente abrir caminho para um ataque à cadeia de suprimentos.
Observação: Nossa equipe reportou essa descoberta à Oracle, que a corrigiu rapidamente. O objetivo deste blog é examinar as implicações de segurança sob uma perspectiva defensiva. Não deve ser interpretado como orientação para exploração ou desenvolvimento de novos vetores de ataque.
O Domínio Expirado em Questão
Algumas partes desta seção estão escritas no presente, pois foram extraídas diretamente de conversas com nosso analista de segurança.
O domínio expirado é:
ociforums.com
Acessá-lo agora redireciona para:
https://expireddomains.com/domain/ociforums.com
(a captura de tela foi feita no momento da descoberta; o problema já foi corrigido desde então).
Dentro do arquivo JavaScript da Oracle, há uma referência a:
http://ccc.ociforums.com/
Esse link aparece no código do site como parte de uma mensagem exibida aos usuários quando nenhum agente de chat ao vivo está disponível. Como o domínio está expirado e à venda, qualquer pessoa poderia comprá-lo e utilizá-lo para fins maliciosos.
Por Que Esse Domínio Expirado Era um Risco de Segurança
Veja o trecho exato do arquivo:
ocFeedback: {
en: "Sorry, no agents are available... post your question at <a href='http://ccc.ociforums.com/'>http://ccc.ociforums.com/</a>..."
}
Essa mensagem é exibida para usuários que já estão buscando ajuda. Eles têm maior probabilidade de confiar no link como uma página legítima de suporte da Oracle. Se um atacante comprasse o domínio, vários riscos poderiam surgir:
- Phishing: O atacante poderia criar um fórum falso com a aparência do suporte da Oracle e enganar usuários para que compartilhassem suas credenciais.
- Hospedagem de Malware: O domínio poderia distribuir downloads maliciosos ou executar exploit kits.
- Abuso de SEO: Como o domínio pode ainda ter boas posições nos mecanismos de busca, ele poderia aparecer em pesquisas por suporte da Oracle e levar pessoas ao site falso.
- Danos à Marca: Se usuários forem enganados, podem responsabilizar a Oracle e perder a confiança na marca.
Risco de Longo Prazo: O link está hardcoded no JavaScript, o que significa que todos os sites que utilizam esse widget precisariam de uma atualização. Se não corrigido rapidamente, a exposição persiste.
Exemplo de Cenário de Ataque
- Um usuário tenta obter suporte da Oracle, mas nenhum agente está disponível.
- A mensagem orienta o usuário a acessar ccc.ociforums.com.
- O domínio agora pertence a um atacante.
- O usuário clica e é solicitado a fazer login com suas credenciais da Oracle.
- O atacante coleta as credenciais e pode também distribuir malware ou aplicar outros golpes.
O Que a Equipe da cside Fez
Entramos em contato com a Oracle e a informamos sobre o problema do domínio expirado. Eles agiram muito rapidamente para recomprar o domínio e nos deram crédito em seus programas de reporte de segurança. Parabenizamos a Oracle pela resposta ágil.
Essa situação evidencia como a complexidade e a exposição acumulada de um site ao longo do tempo podem se tornar um desafio até mesmo para organizações excepcionalmente bem preparadas para incidentes de segurança. A segurança client-side é um espaço frequentemente negligenciado, e isso infelizmente se aplica a empresas de todos os tamanhos.
O Que Poderia Ter Prevenido um Ataque de Domínio Expirado?
Se considerarmos o cenário em que um atacante tivesse obtido acesso a esse domínio: tanto o CSP quanto o SRI teriam falhado.
CSP e SRI Falhariam:
CSP (Content Security Policy) e SRI (Sub Resource Integrity) são mecanismos de defesa client-side amplamente utilizados. O CSP valida a origem das requisições, não se o destino ainda é seguro. O navegador permitirá a requisição independentemente de quem seja o proprietário atual do domínio. O SRI garante a integridade de arquivos apenas quando o desenvolvedor controla o recurso. Neste caso, a referência era um hiperlink renderizado na interface do usuário, não uma dependência de script externo protegida por hash.
Segurança Client-side Detecta Sinais de um Ataque de Domínio Expirado:
Uma plataforma de segurança client-side como o cside observa continuamente o comportamento dos scripts em tempo de execução. Se um domínio de repente começa a emitir redirecionamentos, coletar teclas digitadas, servir JavaScript inesperado ou retornar padrões de resposta incomuns, a mudança de comportamento se torna um alerta imediato. Um aviso seria disparado para que as equipes de segurança possam investigar.
