Компания Fox-IT, которая специализируется на расследованиях в области информационной безопасности, по запросу компетентных органов провела расследование прошлогоднего инцидента со взломом DigiNotar. Как известно, в августе прошлого года в интернете появился поддельный сертификат для *.google.com, c помощью которого неизвестные лица просматривали почту пользователей Gmail из Ирана. Затем обнаружился факт компрометации серверов голландского центра сертификации DigiNotar, а также поддельные сертификаты Yahoo, Mozilla, Tor и других сайтов. Вскоре компания DigiNotar объявила о банкротстве и прекратила работу, а сертификаты DigiNotar были повсюду аннулированы.
Расследование Fox-IT продолжалось больше года, и сейчас они опубликовали всесторонний отчёт (101 страница, pdf).
Как выяснилось, злоумышленники получили полный контроль над всеми восемью серверами центра сертификации DigiNotar задолго до того, как проникновение было обнаружено. Первым взломали сервер Demilitarized Zone (DMZ-ext-net), это произошло 17 июня 2011 года. В дальнейшем эта система использовалась как точка обмена файлами между внешними системами и внутренними серверами DigiNotar, для этого работал простой скрипт, выполнявший функцию рудиментарного файлового менеджера.
Между 17 и 29 июня злоумышленник попал на компьютеры в сетевом сегменте Office-net. В конце концов, сегмент Secure-net с серверами, выдающими сертификаты, был поражён 1 июля 2011 года. Там были установлены программы для туннелирования трафика по протоколу Remote Desktop Protocol, то есть для поддержания соединения с серверами без их прямого подключения к интернету.
Расследование показало, что лог-файлы хранились на тех же серверах и они были подделаны злоумышленниками, так что им удалось-таки эффективно замести следы.
Учитывая шестинедельное окно вторжения, злоумышленникам удалось сгенерировать большое количество сертификатов, в том числе которые не были обнаружены. Другими словами, выводы расследования Fox-IT свидетельствуют о том, что взлом DigiNotar был гораздо серьёзнее, чем думали. Следователям удалось идентифицировать 531 фальшивых сертификат для 140 уникальных имён (DN) и 53 обычных имён (CN). Последний вредоносный трафик в сети DigiNotar датируется 22 июля 2011 года.
Случай с DigiNotar необычен ещё и по той причине, что эта компания не только работала в качестве коммерческого центра сертификации, но и выдавала сертификаты для государственных агентств. Таким образов, выводы следователей о наличии некоторых неидентифицированных фальшивых сертификатов вызывают особенное беспокойство.
Следователи Fox-IT считают, что есть основания полагать, что атака на DigiNotar осуществлена тем же неизвестным хакером, который осуществил взлом Comodo в марте 2011 года. Об этом свидетельствует некоторые общие методы, применявшиеся специалистом, а также некоторые следы, которые указывают на его иранское происхождение.
