DNS-Hijacking-Angriff auf CubePilot fing Nutzerverkehr ab

CubePilot zufolge verursachte ein DNS-Hijacking-Angriff erhebliche Störungen, nachdem ein Angreifer die Kontrolle über die Domaineinstellungen von cubepilot.org übernommen hatte. Der Vorfall ermöglichte es dem Bedrohungsakteur, Datenverkehr umzuleiten und abzufangen, der für die internen Systeme des australischen Drohnentechnologieunternehmens bestimmt war.

Der Angreifer erhielt außerdem gültige TLS-Zertifikate für sämtliche CubePilot-Subdomains. Dadurch könnten betroffene Nutzer über scheinbar legitime HTTPS-Verbindungen mit Diensten verbunden worden sein, die vom Angreifer kontrolliert wurden.

Angreifer kontrollierte die DNS-Einstellungen von CubePilot

CubePilot erklärte, dass der Angriff am 24. Juli begann, als eine unbefugte Partei die Kontrolle über die DNS-Konfiguration von cubepilot.org übernahm.

DNS-Einträge leiten Nutzer zum richtigen Online-Dienst weiter. Wenn Angreifer diese Einträge übernehmen, können sie Besucher auf eine von ihnen kontrollierte Infrastruktur umleiten.

Dies kann den Diebstahl von Zugangsdaten, Phishing, die Verbreitung von Malware und das Abfangen sensibler Daten ermöglichen. In diesem Fall warnte CubePilot, dass Zugangsdaten, die am 24. Juli im Portal oder Forum des Unternehmens eingegeben wurden, möglicherweise abgefangen worden sind.

Das Unternehmen forderte Nutzer, die ihre Passwörter auch bei anderen Diensten verwenden, dazu auf, diese Passwörter umgehend zu ändern.

Unrechtmäßig ausgestellte TLS-Zertifikate ließen Dienste legitim erscheinen

Nach Angaben von CubePilot erhielt der Angreifer TLS-Zertifikate, die sämtliche Subdomains von cubepilot.org abdeckten.

TLS-Zertifikate dienen normalerweise dazu, HTTPS-Verbindungen abzusichern und Browsern dabei zu helfen, die Echtheit einer Website zu überprüfen. Angreifer, die Kontrolle über die DNS-Einstellungen einer Domain besitzen, können jedoch unter bestimmten Umständen gültige Zertifikate für diese Domain erhalten.

Dadurch könnten Nutzer eine gültige HTTPS-Verbindung gesehen haben, während sie unwissentlich mit einer vom Angreifer kontrollierten Infrastruktur verbunden waren.

CubePilot erklärte, dass das Unternehmen am 24. Juli die Kontrolle über seine Domains zurückerlangte und die unrechtmäßig ausgestellten Zertifikate widerrief. Zudem hat das Unternehmen Beweismaterial gesichert, relevante Anbieter informiert und den Vorfall dem Australian Cyber Security Centre sowie den Strafverfolgungsbehörden gemeldet.

CubePilot nimmt Dienste während der Untersuchung offline

Mehrere CubePilot-Dienste sind derzeit offline, während das Unternehmen den Sicherheitsvorfall untersucht. Dazu gehören OEM-Dienste, das Community-Forum und das Dokumentationsportal.

CubePilot-CEO Philip Rowse erklärte, dass das Unternehmen vorsorglich auch sein ERP-Portal offline genommen habe.

Das Unternehmen entwickelt Flugsteuerungen, Navigationshardware und Autopilotsysteme für Drohnen. Die Produkte werden unter anderem in den Bereichen Vermessung, Landwirtschaft, Suche und Rettung, Verteidigung sowie bei Behörden eingesetzt.

CubePilot erklärte, dass betroffene Organisationen direkt kontaktiert werden, wenn die Untersuchung bestätigt, dass sie von dem Vorfall betroffen sind.

Kunden werden vor Firmware und Zahlungsaufforderungen gewarnt

CubePilot überprüft derzeit die Integrität der während des Vorfalls veröffentlichten Firmware-Dateien. Kunden wurden angewiesen, keine Firmware zu installieren, die am 24. oder 25. Juli heruntergeladen wurde, bis das Unternehmen seine Sicherheitsprüfungen abgeschlossen hat.

Firmware, die vor dem 24. Juli heruntergeladen wurde, gilt derzeit als sicher.

Das Unternehmen warnte Kunden außerdem davor, unerwarteten Zahlungsaufforderungen zu vertrauen. Wer eine Anfrage erhält, die scheinbar von CubePilot stammt, sollte diese telefonisch bei seinem üblichen Ansprechpartner im Unternehmen bestätigen, bevor weitere Schritte unternommen werden.