Neue unsichtbare Cybergefahr auf dem Vormarsch RDGA – die stille Bedrohung

Seit fast zwei Jahrzehnten nutzen Bedrohungsakteure DGAs (Domain Generation Algorithms) zur Verbreitung von Malware und Phishing-Kampagnen. Nun ist mit RDGA (Registered Domain Generation Algorithm) eine neue Technik auf dem Vormarsch, bei der alle generierten Domains registriert werden. Dies ermöglicht eine schnelle Skalierung und erschwert die Entdeckung.

Registered Domain Generation Algorithmen (RDGAs) sind ein programmierter Mechanismus, der es Bedrohungsakteuren ermöglicht, eine große Anzahl von Domainnamen auf einmal oder über einen längeren Zeitraum zu erstellen und für die Verwendung in ihren kriminellen Infrastrukturen zu registrieren. Sie unterscheiden sich grundlegend von herkömmlichen Domain Generation Algorithms (DGAs), die seit langem mit Malware in Verbindung gebracht werden. Bei einem RDGA ist der Algorithmus das Betriebsgeheimnis des Angreifers, und er registriert alle Domainnamen. Im Gegensatz dazu enthält eine herkömmliche DGA einen Algorithmus, der entdeckt werden kann, und die meisten Domainnamen werden nicht registriert. Während DGAs ausschließlich für die Kommunikation mit einem Malware-Controller verwendet werden, werden RDGAs für ein breites Spektrum bösartiger Aktivitäten eingesetzt.

Schlimmster je entdeckter Angriff auf DNS

Kritische Sicherheitslücke in DNSSEC entdeckt

RDGAs sind wesentlich schwieriger zu erkennen und abzuwehren als herkömmliche DGAs, und obwohl sie im Netz weit verbreitet sind, schenkt ihnen die Security-Community viel zu wenig Aufmerksamkeit. Doch die stille Verbreitung von RDGA-Bedrohungen hat massive Auswirkungen auf die aktuelle Bedrohungslandschaft.

Nutzung von RDGAs

RDGAs werden von Kriminellen, kriminellen Organisationen und seriösen Unternehmen gleichermaßen verwendet. Registrierungsstellen wie Namecheap bieten sogar Tools an, mit denen Variationen eines ausgewählten Domainnamens generiert werden können.

Während herkömmliche DGAs nach wie vor die beliebteste Wahl für Malware-Autoren sind, haben sich einige Bedrohungsakteure dazu entschlossen, stattdessen auf RDGAs für ihre Malware zu setzen. RDGA-Domains werden häufig dazu verwendet, bösartige Payloads oder Drive-by-Exploits zu hosten. Sie fungieren dann nicht als C2 für die Malware, auch wenn es Fälle gibt, in denen Bedrohungsakteure fest kodierte RDGA-Domains in ihre Payloads einbetten.

Einsatzmöglichkeiten von RDGAs

• Phishing: Phishing, einschließlich Spear-Phishing, Business Email Compromises (BECs) und ähnlicher Varianten, ist eine der bekanntesten und am häufigsten gemeldeten Cyberbedrohungen, weshalb böswillige Akteure ständig neue Domains benötigen, um Sicherheitsmaßnahmen zu umgehen und ihre Phishing-Operationen effektiv zu gestalten.

• Spam: Spam-Domains erzeugen naturgemäß ein hohes Aktivitätsvolumen und sind daher anfällig für die Erkennung und Blockierung durch E-Mail-Anbieter und Anti-Spam-Lösungen. Die Verwendung eines RDGA zur Registrierung großer Mengen neuer Domains kann Betrügern dabei helfen, domainbasierte Blockierungen zu umgehen und sicherzustellen, dass ihre Nachrichten so viele Empfänger wie möglich erreichen.

• Scam: Betrüger nutzen RDGAs aus den gleichen Gründen wie andere Bedrohungsakteure: Ihre Domains werden häufig von Service Providern blockiert oder abgeschaltet. Daher ist es für sie von Vorteil, über einen ständigen Zufluss neuer Domains zu verfügen, mit denen sie ihre Betrügereien durchführen können.

• Glücksspiel: Illegale Glücksspielanbieter haben genauso viele Motive RDGAs zu verwenden wie alle anderen Cyberkriminellen. RDGA-Domains mit Glücksspielinhalten, die auf ein chinesisches Publikum abzielen, sind besonders weit verbreitet, was wahrscheinlich auf die "Great Firewall of China" zurückzuführen ist, die den Zugang zu bekannten Glücksspielseiten blockiert. Die Betreiber dieser Websites nutzen daher RDGAs, um eine große Anzahl neuer Domains einzurichten, die ihre Inhalte spiegeln, um sie den Nutzern in China ohne Umwege über ein VPN zugänglich zu machen.

• Traffic-Distribution-Systems: Traffic Distribution Systems (TDS) werden für die Weiterleitung des eingehenden Webverkehrs auf der Grundlage von Benutzereigenschaften wie IP-Geolokalisierung, Browser-Funktionen, HTTP-Anfrage-Header und mehr verwendet. Seriöse Unternehmen nutzen TDS in der Regel für Marketing- und SEO-Zwecke, da sie ausgefeilte Funktionen für die Durchführung gezielter Werbung und die Verfolgung des Erfolgs von Werbekampagnen bieten. Cyberkriminelle nutzen TDS auf ganz ähnliche Weise: Sie nutzen deren Fähigkeiten, um gezielte Angriffe durchzuführen und den Erfolg ihrer Phishing- und Malware-Kampagnen zu verfolgen.

• VPNs: VPNs können den Datenverkehr anonymisieren und Nutzern den Zugriff auf Websites ermöglichen, die ansonsten im Netzwerk des Nutzers gesperrt wären. Netzwerkadministratoren und Sicherheitslösungen können daher bekannte VPN-Infrastrukturen sperren, um zu verhindern, dass sie zur Umgehung der Netzwerksicherheit genutzt werden. Unternehmen, die VPN-Dienste anbieten, möchten jedoch, dass ihre Infrastruktur in möglichst vielen Netzwerken zugänglich bleibt, da ihr Geschäft davon abhängt. Aus diesem Grund setzen einige VPN-Unternehmen RDGAs ein, um die Sperrmechanismen auf die gleiche Weise zu umgehen, wie es die Angreifer tun.

Wie diese Beispiele zeigen, können RDGAs viele verschiedene Formen annehmen und unzähligen Zwecken dienen. Noch wichtiger ist jedoch die Tatsache, dass die bekannten RDGA-Bedrohungen nur die Spitze des Eisbergs sind.

Für jeden RDGA, der von Sicherheitsteams im Detail untersucht und veröffentlicht wird, werden Tausende weiterer RDGAs entdeckt, deren Funktion weitgehend unbekannt ist. Angesichts des breiten Spektrums bösartiger Aktivitäten, die von bekannten RDGAs ausgehen, ist die Menge der unbekannten RDGAs von großem Interesse – und Besorgnis erregend. Die Muster und DNS-Signaturen, die RDGA-Domains miteinander verbinden, können nur durch groß angelegte Analysen identifiziert werden. Unbekannte RDGA-Domains können daher weitgehend ungehindert in Netzwerken operieren, die nicht durch fortgeschrittene DNS-Analysen geschützt sind.

In einem Zeitraum von sechs Monaten (17. Oktober 2023 bis 17. April 2024) haben die RDGA-Detektoren von Infoblox Threat Intel mehr als 2 Millionen einzigartige RDGA-Domains identifiziert, das entspricht durchschnittlich mehr als 11.000 neuen RDGA-Domains pro Tag.

Domain-basierten Angriffen begegnen

Checkliste für mehr Domain-Sicherheit

RDGAs: Unterschätzt und gefährlich

RDGA-Domains werden mit einer Reihe von fragwürdigen Aktivitäten in Verbindung gebracht, die die meisten Unternehmen nicht in ihren Netzwerken haben wollen. Obwohl RDGAs für die Registrierung von Millionen neuer Domains verwendet werden, bleiben sie in der Sicherheitsbranche fast völlig unbemerkt. Dies ist wahrscheinlich darauf zurückzuführen, dass deren Erkennung sowohl umfassende DNS-Kenntnisse als auch den Zugriff auf große Mengen von DNS-Daten erfordert. Unternehmen sollten sich der Bedrohung, die RDGAs für ihre Netzwerke darstellen, bewusst sein und Sicherheitslösungen implementieren, die eine automatische Erkennung von RDGAs beinhalten.

Über die Autorin: Dr. Renée Burton ist die Leiterin der Abteilung Threat Intel bei Infoblox. Sie ist Expertin für DNS-basierte Bedrohungen und leitet die Algorithmenentwicklung und Forschung im Bereich DNS-Intelligence.

(ID:50214107)