Domain-Takedowns So stoppen IT-Security-Experten Cyberkriminelle

Anbieter zum Thema

Proofpoint Germany

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Cyberkriminelle nutzen heute raffinierte Techniken wie Typosquatting, Fast-Flux und saisonale Angriffsmuster, am Anfang vieler ihrer Aktivitäten stehen aber oft Internet-Domains die für illegale oder schädliche Aktivitäten missbraucht werden. Domain-Takedowns sind deshalb unverzichtbar im Kampf gegen Cybercrime, aber Prozess ist komplex.

„Takedowns“ sorgen immer wieder für Schlagzeilen in der IT-Sicherheitsbranche, so auch Domain-Takedowns, bei denen eine Internet-Domain deaktiviert wird, die für illegale oder schädliche Aktivitäten missbraucht wurde. Bei diesen handelt es sich um Phishing-Angriffe, die Verbreitung von Malware, Urheberrechtsverletzungen oder andere Formen der Cyberkriminalität. Häufig wird die Wirksamkeit von Takedowns in Frage gestellt. In vielen Fällen sind sie allerdings alternativlos, weil sich nur so z.B. Schaden von einer Marke abwenden lässt oder eine auch nur mittelfristige Behinderung einer Cyberkriminellengruppe immer noch besser ist, als diese gewähren zu lassen. Tatsächlich sind Takedowns ein wichtiges Tool im Werkzeugkasten IT-Sicherheitsverantwortlicher. Darum gilt es für sie, zu wissen, wie Cyberkriminelle sich illegal Domains sichern und wie Takedowns durchzuführen sind.

Weltweit größten Plattformen

Behörden schalten Cybercrime-Foren ab

Anpassungsfähige Cyberkriminelle

Die Taktiken der Cyberkriminellen bei der Registrierung und Nutzung von Domains entwickeln sich ständig weiter. Von einfachen Typosquatting-Methoden über komplexe dynamische DNS-Strukturen bis hin zu Fast-Flux-Techniken, bei denen die IP-Adresse einer Domain ständig geändert wird, um eine Rückverfolgung zu erschweren, zeigen die Angreifer ein hohes Maß an Anpassungsfähigkeit. Das Ausnutzen von Schwachstellen in den Registrierungsprozessen verschiedener Domain-Provider in Verbindung mit der Möglichkeit kostengünstiger Massenregistrierungen erlaubt es ihnen, auch nach erfolgreichen Takedowns schnell wieder aktiv zu werden. Häufig werden Domains präventiv registriert und erst später für Angriffe aktiviert, was die Überwachung und Früherkennung zusätzlich erschwert.

Ein weiteres wichtiges Merkmal der Bedrohungslandschaft sind saisonale Angriffsmuster. So beobachten Sicherheitsexperten zu bestimmten Zeiten wie Feiertagen oder Semesterbeginn eine Häufung von Angriffen, die sich beispielsweise gegen den Online-Handel oder Universitäten richten. Diese zeitlich koordinierten Kampagnen nutzen das erhöhte Online-Aufkommen und die damit verbundene Ablenkung der Nutzer aus. Die Angreifer setzen dabei auf Social Engineering und täuschend echt aussehende Phishing-Seiten, um an sensible Daten wie Login-Informationen oder Kreditkartendetails zu gelangen.

Umsetzung des Takedowns

Der Prozess eines Domain-Takedowns ist komplex und erfordert die Zusammenarbeit verschiedener Akteure. Eine gründliche forensische Untersuchung und die Sammlung stichhaltiger Beweise sind entscheidend für den Erfolg eines Takedown-Antrags. Die Anforderungen an die Beweisführung sind je nach Domain-Registrar und Gerichtsbarkeit sehr unterschiedlich. Während einige Provider schnell und unkompliziert auf Takedown-Anfragen reagieren, stellen andere hohe Anforderungen an die Dokumentation der missbräuchlichen Aktivitäten.

Botnet mit 20 Millionen Windows-PCs

Verdächtiger eines der größten Botnets aller Zeiten verhaftet

Markenschutz vs. Cybercrime

Der Takedown-Prozess unterscheidet sich wesentlich zwischen Markenrechtsverletzungen und aktiv schädigenden Domains. Bei Markenrechtsverletzungen, wie der Registrierung einer Domain mit geringfügigen Abweichungen von einem bekannten Firmennamen, sind oft rechtliche Schritte notwendig. Im Gegensatz dazu können bei nachweislich schädlichen Aktivitäten wie Phishing oder der Verbreitung von Malware direktere Maßnahmen ergriffen werden. In beiden Fällen müssen die Beweise stichhaltig sein und können Screenshots der Phishing-Seite, E-Mail-Header, Malware-Proben und andere forensische Artefakte umfassen. Die Dokumentation technischer Details wie IP-Adressen, Nameserver und Hosting-Provider ist ebenfalls wichtig, um die Verbindung zwischen der Domain und den schädlichen Aktivitäten nachzuweisen.

Spezialisten einbeziehen

Der Aufbau und die Pflege von Beziehungen zu Domain-Registraren und anderen Diensteanbietern sind für eine effektive Takedown-Strategie unerlässlich. Diese Beziehungen ermöglichen eine schnellere Bearbeitung von Takedown-Anfragen und verkürzen die Reaktionszeiten. Es ist wichtig, die spezifischen Anforderungen und Prozesse der verschiedenen Anbieter zu kennen und die Kommunikation entsprechend anzupassen. Die Bereitstellung vollständiger und präziser Informationen, die den Anforderungen des jeweiligen Providers entsprechen, erhöht die Wahrscheinlichkeit eines erfolgreichen Takedowns.

Hackergruppe APT28 übernimmt Router für Spionage

Sicherheitsbehörden schalten russisches Spionagenetz aus

Unternehmen müssen sich schützen

Für Unternehmen, die ihre Domains schützen wollen, ist eine mehrdimensionale Sicherheitsstrategie unerlässlich, die sowohl präventive als auch reaktive Elemente enthält. Ein kontinuierliches Domain-Monitoring, die defensive Registrierung ähnlicher Domains und die Schulung der Mitarbeitenden im Umgang mit Phishing-E-Mails sind wichtige Bestandteile einer solchen Strategie. Kleine und mittlere Unternehmen sind besonders anfällig für Cyber-Angriffe, weil sie oft über weniger Ressourcen für Cyber-Sicherheit verfügen. Ein einziger erfolgreicher Phishing-Angriff kann für sie verheerende Folgen haben und zu erheblichen finanziellen Verlusten oder dem Verlust von Kundendaten führen.

Wichtig und wertvoll

Die zunehmende Verbreitung von Cyberkriminalität und die ständige Weiterentwicklung der Angriffsmethoden machen Domain-Takedowns zu einem immer wichtigeren Instrument im Kampf gegen Cyberbedrohungen. Die Fähigkeit, schnell und effektiv auf neue Bedrohungen zu reagieren und gleichzeitig proaktive Schutzmaßnahmen zu implementieren, wird zu einem entscheidenden Erfolgsfaktor für Unternehmen. Die kontinuierliche Weiterentwicklung von Abwehrstrategien und -prozessen, insbesondere vor dem Hintergrund sich verändernder Bedrohungslagen wie KI-gestützter Angriffe, bleibt eine zentrale Herausforderung für die gesamte Cybersicherheitsgemeinschaft. Die Zusammenarbeit zwischen Sicherheitsforschern, Strafverfolgungsbehörden und Domainregistrierungsstellen ist entscheidend, um die Wirksamkeit von Takedowns zu erhöhen und die Sicherheit im Internet zu verbessern.

Über den Autor: Daniel Blackford ist Threat Director bei Proofpoint.

Internationale Aktion

27 kriminelle DDoS-Platfformen abgeschaltet

(ID:50412530)