Niebezpiecznik

Kilka dni temu, napisał do nas jeden z czytelników, który w domenie Ministerstwa Spraw Wewnętrznych i Administracji natknął się na …sklep internetowy znanej firmy, sprzedającej przybory do pisania.

MSWiA i długopisy Herlitz

Oto co można było zobaczyć pod adresem www1.mswia.gov.pl (cache) oraz informatyzacja.gov.pl (cache):

subdomena www1 w domenie mswia.gov.pl oraz domena informatyzacja.gov.pl kierują na sklep internetowy firmy produkującej przybory do pisania

Myślę, że każda rozsądna osoba od razu wykluczy atak internetowy “złych hackerów” — na szczęście chyba jeszcze nie żyjemy w czasach, w których sklepy internetowe wynajmują włamywaczy, atakujących rządowe serwisy informacyjne :> Sprawa wydała nam się jednak na tyle interesująca, że postanowiliśmy zapytać rzecznika MSWiA, dlaczego w domenie Ministerstwa można natknąć się na sklep z długopisami?

Dziwne DNS-y MSWiA

Z analizy DNS-ów:

$ host -t NS mswia.gov.pl
mswia.gov.pl name server ns2.internetia.pl.
mswia.gov.pl name server ns2.sint.pl.
mswia.gov.pl name server ns1.sint.pl.
mswia.gov.pl name server ns1.internetia.pl.

wynikało, że część hostów z domeny MSWiA zwraca następujący adres IP 157.25.56.16 należący do IKP.pl, firmy powiązanej operatorem GTS.pl. Co więcej na tym adresie rzeczywiście hostowany jest oficjalny katalog produktów firmy Herlitz (katalog.herlitz.pl):

Adresy poszczególnych (sub)domen

Pytanie, czy 157.25.56.16 w strefie MSWiA to jakaś pozostałość po starej konfiguracji DNS-ów, zwykła pomyłka, czy celowe działanie kogoś, kto dorabia sobie jako pozycjoner, czyli specjalista od SEO. Linki z domeny .gov.pl są wszakże uważane za bardzo wartościowe. Nie można też wykluczyć nieutoryzowanego dostępu do DNS-ów (poza wiedzą MSWiA) i “złośliwej” modyfikacji strefy DNS przez osoby trzecie — ale mając taką możliwość aż prosi się o innego typu działanie, niż “zabawy w długopisy”.

Rzecznik MSWiA odpowiada

Zapytaliśmy rzecznika Ministerstwa, kto opiekuje się DNS-ami utrzymującymi domeny Ministerstwa i kto dokonał na nich w/w zmian. Rzecznik co prawda nie odpowiedział na to pytanie, ale oświadczył, że

nie nastąpiło włamanie na którykolwiek z serwerów Ministerstwa Spraw Wewnętrznych i Administracji. Niewłaściwe przekierowanie spowodowane było niezaktualizowanym fragmentem konfiguracji. Po wykryciu błędu został on niezwłocznie naprawiony. Dziękujemy za informację.

I rzeczywiście, błąd został szybko poprawiony, a kontakt z Ministerstwem i zespołem CERT.GOV.PL sprawny, za co należą się brawa.

Sprawdź swoje DNS-y

Niech ta zabawna historia będzie pretekstem, do rzucenia okiem w swoje strefy DNS. Sprawdźcie, czy nie macie tam nieaktualnych danych np. subdomen wskazujących na IP starych VPS-ów, które obecnie nie są pod Waszą kontrolą — żeby nie okazało się, że prowadząc sklep dla dzieci, na jednej z subdomen sprzedajecie artykuły tylko dla dorosłych… ;-)

W analizie DNS-ów może Wam pomóc skrypt dnsenum. Warto też zapoznać się z badaniem zająca poziomki, który przeanalizował RevDNS-y dla polskich klasy adresowych.

Przeczytaj także:

• Ślady pirackiego oprogramowania w MSWiA / ePUAP
• Jak wygasające domeny można wykorzystać do ataków?
• Ministerstwo Cyfryzacji walczyło z Ministerstwem Finansów o naszą wolność w internecie. Przegrało.