Toppuniversiteters nettsider viser pornografisk innhold – svak sikkerhetsrutine er årsaken

Nettstedene til noen av verdens mest prestisjefylte universiteter har nylig blitt brukt til å vise pornografisk og skadelig innhold. Årsaken er svak intern kontroll hos universitetene, ifølge en ny undersøkelse gjennomført av forsker Alex Shakhov.

Blant de berørte universitetene er University of California, Berkeley (berkeley.edu), Columbia University (columbia.edu) og Washington University i St. Louis (washu.edu).

Forskeren har identifisert hundrevis av undermapper (subdomener) som er blitt misbrukt av svindlere. Eksempler inkluderer:

• hXXps://causal.stat.berkeley.edu/ymy/video/xxx-porn-girl-and-boy-ej5210.html – en side med pornografisk innhold
• hXXps://conversion-dev.svc.cul.columbia[.]edu/brazzers-gym-porn – en side med pornografisk video
• hXXps://provost.washu.edu/app/uploads/formidable/6/dmkcsex-10.pdf – en falsk PDF-fil med skadelig innhold

I minst ett tilfelle har en av sidene blitt brukt til å lure besøkende ved å påstå at datamaskinen deres er infisert med skadelig programvare. Besøkende blir deretter oppfordret til å betale for fjerning av en ikke-eksisterende trussel.

Ifølge Shakhov er minst 34 universiteter rammet av dette problemet. Google sine søkeresultater viser tusenvis av sider som er blitt kapret på denne måten.

Hvordan skjer dette?

Svindlerne utnytter svakheter i universitetenes rutiner for sletting av gamle nettsidedomener. Når et universitet oppretter en undermappe, for eksempel provost.washu.edu, registreres det en CNAME-post som knytter domenet til en IP-adresse. Når undermappen senere blir slettet – noe som skjer ofte av ulike årsaker – blir ikke CNAME-posten fjernet. Dette åpner muligheten for at svindlere kan registrere det utgåtte domenet igjen og utnytte det til ulovlige formål.

«Dette er i bunn og grunn en administrativ feil som svindlere utnytter. Universitetene har ikke fjernet de gamle registreringene, og det blir dermed en inngangsport for ondsinnede aktører,» sier Shakhov.

Forskeren mener at gruppen bak dette kan spores tilbake til en kjent svindelgruppe kalt Hazy Hawk.