Gefährliche DNS-Fehlkonfigurationen: Cyberkriminelle nutzen bekannte Marken

LONDON (IT BOLTWISE) – In einer alarmierenden Entwicklung haben Cyberkriminelle begonnen, falsch konfigurierte DNS-Einträge von bekannten Unternehmen auszunutzen, um Malware zu verbreiten. Diese Sicherheitslücke betrifft unter anderem renommierte Marken wie Bose und Panasonic.

Cyberkriminelle haben eine neue Methode entwickelt, um Malware über die Subdomains bekannter Unternehmen zu verbreiten. Diese Angriffe nutzen falsch konfigurierte DNS-Einträge aus, die oft von den rechtmäßigen Inhabern vergessen werden. Laut einem Bericht von Infoblox, einem IT-Sicherheitsunternehmen, sind unter anderem Bose, Panasonic und sogar die US-Seuchenbehörde CDC betroffen. Die Entdeckung dieser Sicherheitslücke geht auf den IT-Journalisten Brian Krebs zurück, der auf verdächtige URLs aufmerksam machte, die auf pornografische Inhalte verwiesen.

Die Angreifer, die unter dem Namen ‘Hazy Hawk’ bekannt sind, nutzen sogenannte ‘Dangling-Einträge’. Diese entstehen, wenn Unternehmen Cloud-Ressourcen außer Betrieb nehmen, aber die zugehörigen DNS-Einträge nicht aktualisieren oder löschen. Diese verwaisten Einträge werden zu einem Einfallstor für Cyberkriminelle, die darüber schädliche Inhalte verbreiten können. Besonders gefährlich ist, dass viele gängige Sicherheitssysteme solche Fehlkonfigurationen nicht erkennen.

Ein weiteres Problem ist die automatische Weiterleitung von Nutzern auf schädliche Webseiten. Die Angreifer verwenden Traffic Distribution Systems (TDS), um je nach Endgerät, Standort und Nutzungsverhalten die passenden Betrugsseiten zu liefern. Diese Weiterleitungen beginnen oft auf scheinbar seriösen Blogs oder Entwicklerseiten und führen die Nutzer durch ein Netz von Betrügerseiten. Nutzer sollten daher besonders vorsichtig mit Push-Benachrichtigungen von nicht vertrauenswürdigen Seiten umgehen.

Um sich vor solchen Angriffen zu schützen, wird Unternehmen geraten, verstärkt auf ‘DNS-Hygiene’ zu achten und veraltete DNS-Einträge zu überprüfen. Da DNS als Vektor für Cyberangriffe noch nicht flächendeckend verstanden wird, bleiben solche Methoden oft lange unentdeckt. Die Identifizierung verlassener Cloud-Ressourcen ist laut Infoblox schwieriger als die Erkennung nicht registrierter Domains, da jeder Cloud-Anbieter anders mit fehlenden Ressourcen umgeht.

Einige große Cloud-Anbieter wie Azure haben spezielle Mechanismen implementiert, um ein Hijacking zu verhindern, selbst wenn ein ‘Dangling Record’ existiert. Dennoch nutzt Hazy Hawk URLs, die besonders schwer zu finden sind, was darauf hindeutet, dass die Bande erweiterten Zugriff auf DNS-Daten hat. Die Bedrohung durch solche Angriffe zeigt, wie wichtig es ist, die DNS-Infrastruktur regelmäßig zu überprüfen und zu aktualisieren, um Sicherheitslücken zu schließen.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!