Attackers hijacked three top-level domains and used their control to mint counterfeit TLS certificates for Google and other large organizations, Google said Tuesday.

The attackers launched a series of attacks on the .gh, .sl, and .as country code top-level domains (ccTLDs) and then modified authoritative DNS records for selected domains within those namespaces. By controlling those DNS records, the attackers were able to pass automated domain control validation checks and obtain unauthorized certificates for “several Google domains” and “several leading global brands and widely used online services.” Google said it updated Chrome to block all certificates it identified as unauthorized, and worked with the issuing certification authorities to ensure the unauthorized certificates for Google properties were revoked.

Certificate issuance: The weak link in the chain

TLS certificates are the cryptographic credentials that underpin authentication and encryption protections for websites, mail servers, and other Internet infrastructure. These x.509 certificates use a digital signature to bind a domain name such as google.com to a public key. The public key is publicly available, while the private key is held only by the website operator. When a connection shows that the keys match, the visiting party knows it’s connected to the authentic site rather than an impostor. Possession of unauthorized certificates allows attackers to cryptographically impersonate the affected infrastructure.

Read full article

Comments

A Apple bloqueou recentemente oito certificados vulneráveis que eram utilizados pelo Safari para determinar se uma página da web era legítima ou não — recurso que existe para proteger usuários de cópias baratas de sites feitas para golpes.

De acordo com informações do BleepingComputer, essas chaves privadas foram revogadas pela autoridade certificadora indiana eMudhra após pesquisadores descobrirem que eram tão fracas que qualquer pessoa poderia utilizá-las para forjar um certificado de uma página legítima.

Além do Safari, navegadores populares como o Mozilla Firefox e o Google Chrome também se baseavam nesses certificados para proteger usuários. Em um relatório, inclusive, a Mozilla explicou que todos os oito certificados utilizavam chaves privadas P-384 (geradas em abril de 2025), as quais tinham valores menores que 256 — o que permitia a qualquer pessoa recuperá-las testando apenas 256 possibilidades.

Descoberta primeiro por um pesquisador identificado apenas como Wayne, em 17 de outubro, a vulnerabilidade foi demonstrada no GitHub por outro pesquisador chamado Flüpke, o qual mostrou que uma chave privada para o certificado “EM OV TLS CA – G3C” da eMudhra contava com um valor de apenas 4.

Em uma resposta à Mozilla, desenvolvedora do Firefox, a eMudhra disse que identificou um erro em um script usado para gerar certificados que fazia com que um segundo conjunto de chaves mais fracas fosse gerado — as quais eram, então, selecionadas erroneamente como as chaves definitivas por terem rótulos parecidos com os das chaves corretas.

A autoridade também colocou panos quentes na situação ao afirmar que a maioria dos certificados nunca foi usada em produção e que não encontrou evidências de que o problema tenha afetado usuários finais.

Além do Safari, o Firefox e o Chrome também já revogaram esses certificados.

Macs ainda podem estar vulneráveis

Ainda de acordo com o veículo, Dennis Jackson, engenheiro de criptografia da Mozilla, alertou que o utilitário embutido /usr/bin/curl do macOS poderá continuar confiando nesses certificados vulneráveis, pois o seu bundle de certificados não verifica se os certificados foram revogados.

Isso quer dizer que, caso o Mac já tenha aceitado algum desses certificados, ele continuará confiando nele até que haja uma correção — algo que só poderá ser feito em uma futura atualização de segurança.

O Google anunciou uma série de novidades envolvendo cibersegurança para o Chrome, incluindo uma nova página de aviso para sites perigosos, proteção contra ataques do tipo ClickFix e uma expansão da detecção de golpes com o Gemini.

Agora, avisos sobre sites maliciosos se dividem entre “sites suspeitos” (quando há uma avaliação com menor grau de confiança, indicando um possível risco de danos ao usuário) e “sites perigosos” (quando há uma avaliação com alto grau de confiança, indicando um risco elevado de danos ao usuário).

Para sites suspeitos, os usuários são apenas notificados, enquanto para sites perigosos o aviso é exibido em um formato de tela inteira com fundo vermelho:

Essa avaliação, feita pelo recurso de Proteção Reforçada, também ganhou novidades, já que o Google migrou a ferramenta para um novo modelo do Gemini, capaz de avaliar o conteúdo das páginas (como a marca representada ou a intenção delas) e, se necessário, enviá-lo à nuvem.

O Google destacou, porém, que o Chrome minimiza a quantidade de dados compartilhados com os servidores, analisando o texto das páginas somente quando um site apresenta indicadores de golpe com alto grau de confiança. Sempre que algo é processado fora do dispositivo, o Google afirma que não registra logs, não armazena essas informações nem treina os modelos de IA da empresa com esses dados.

Além disso, o mesmo recurso passa a oferecer proteção contra golpes do tipo ClickFix (ataques que simulam verificações CAPTCHA para induzir usuários a copiar e colar comandos maliciosos no Terminal do macOS ou no prompt de comando do Windows), detectando automaticamente quando o usuário é induzido a copiar comandos suspeitos, que são “higienizados” antes de serem enviados para a área de transferência da máquina, com a remoção de informações de identificação pessoal (PII), e encaminhados à Navegação Segura para análise adicional. Se o comando for nocivo, um alerta é exibido.

via Tecnoblog