Инициатива ICANN и Verisign провоцирует захват доменов на госуровне

Инициатива ICANN и Verisign провоцирует захват доменов на госуровне

Инициатива ICANN и Verisign провоцирует захват доменов на госуровне

Срок действия соглашения о реестре .NET подходит к концу, ICANN и Verisign (как оператор) должны его продлить, но решили внести поправки. Как оказалось, они существенно изменяют глобальную политику доменных имен.

Обновленный документ (более 150 страниц) выложен в паблик для обсуждения до 25 мая. Судя по анонсу, это просто возобновление контракта, действительного до 30 июня 2023 года, однако в тексте при внимательном прочтении могут обнаружиться подводные камни.

Новые формулировки, сводящие на нет многолетние и многосторонние усилия по регулированию интернет-пространства, первым заметил Джордж Кирикос (George Kirikos), президент канадской консалтинговой компании Leap of Faith Financial Services и давний оппонент ICANN. Дополнения, по сути позволяющие любому государству захватить неугодный или понравившийся домен в TLD-зоне .NET, содержатся в самом конце документа (PDF), в разделе 2.7 Приложения 8 (соглашение о регистрации доменов).

В новой редакции этот раздел (с. 147-148) содержит измененный пункт (b) о праве Verisign на санкции в отношении провинившегося владельца домена (аннулирование договора, блокировка домена, передача его другому лицу и т. п.). Перечень условий для принятия таких мер включает новые основания, в том числе такие:

  • согласно применимому законодательству, правительственному постановлению, нормативно-правовому акту;
  • в интересах правопорядка;
  • во исполнение судебного приказа либо запроса какого-либо государства, правительственного или административного органа, суда надлежащей юрисдикции.

Проще говоря, предлагается разрешить любому госоргану, правительственному ведомству, местной администрации (скажем, Калифорнии, Детройта или деревни на 100 хибар в Ботсване) либо «компетентному» судье распоряжаться судьбой чужих доменов. Примечательно также, что никаких механизмов защиты для регистраторов или регистрантов новое соглашение по .NET не предусматривает.

Как отметил Кирикос, привлечь потом Verisign, ICANN, регистратора к ответственности будет трудно. Соглашение о регистрации доменов не предусматривает возможность предъявления каких-либо претензий оператору реестра и подрядчикам, и авторы новой инициативы позаботились о сохранении этого положения.

Судиться со страной-экспроприатором и вовсе бесперспективно. В международном праве закреплен принцип суверенного иммунитета, в соответствии с которым подавать исковое заявление придется за рубежом.

Как оказалось, такие же поправки (PDF) три года назад внесли в соглашение о реестре .COM, но мало кто это заметил, и они в итоге сохранились. Активный оппонент ICANN намерен добиться их исключения.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Червь TheMoon активно эксплойтит 10-балльную уязвимость в роутерах Linksys

Эксперты фиксируют новые атаки сетевого червя TheMoon на маршрутизаторы. Самоходный зловред активно сканирует сети интернет-провайдеров в поисках устройств Linksys с критической уязвимостью CVE-2025-34037.

Данная проблема безопасности представляет собой возможность инъекции команд, которая возникла из-за неадекватной санации ввода скриптами /tmUnblock.cgi и /hndUnblock.cgi, доступными по HTTP на порту 8080.

Эксплойт не требует аутентификации (в запрос можно включить произвольные учетные данные — к примеру, «admin», дефектные CGI все равно не будут проверять подлинность), и позволяет через атаку zero-click выполнить на устройстве любую шелл-команду.

Степень опасности CVE-2025-34037 оценена в 10 баллов из 10 возможных по шкале CVSS. Ее наличие подтверждено для десятка моделей роутеров Linksys серии Е; не исключено, что уязвимости также подвержены сетевые устройства WAG, WAP, WES, WET, WRT и точки доступа Wireless-N.

Проводя сканирование, сетевой червь подключается к роутерам на порту 8080/ TCP и проверяет модель и версию прошивки. Обнаружив подходящую мишень, вредонос подает эксплойт-запрос, запускающий выполнение небольшого шелл-скрипта для загрузки бинарника ELF MIPS весом 2 Мбайт — копии TheMoon.

Зараженное устройство сразу начинает искать другие мишени по списку, вшитому в код зловреда (670 блоков IP-адресов, в основном /21 и /24). Также на нем на произвольном порту < 1024 временно запускается HTTP-сервер для раздачи полезной нагрузки новым жертвам.

Пока вредонос просто расширяет свои владения, однако в его коде обнаружены строки, указывающие на возможность создания C2-канала. Видимо, позднее зараженные устройства будут приобщены к ботнету для сдачи в аренду другим злоумышленникам.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru