Das DNS, das Telefonbuch des Internets

Ein Domainname hat nur durch die ihm zugeordneten Einträge einen Wert. Die CISA nennt zum Beispiel Adresseinträge (A), Mailserver-Einträge (MX) und Nameserver-Einträge (NS)².

Der von der CISA beschriebene Angriffsweg besteht aus drei Schritten. Der Angreifer kompromittiert die Zugangsdaten eines Kontos, das DNS-Einträge ändern darf, oder kommt auf andere Weise an sie. Danach ersetzt er die legitime Adresse eines Dienstes durch eine Adresse, die er kontrolliert. So kann er den Verkehr prüfen oder manipulieren, bevor er ihn, wenn er es will, an den echten Dienst weiterleitet. Schließlich kann er gültige Zertifikate erhalten, um diesen Verkehr zu entschlüsseln und die von Nutzern eingegebenen Daten zu lesen². Die CISA fügt hinzu, dass dieses Risiko über den Zeitraum der Umleitung hinaus bestehen bleibt².

MITRE nennt eine weitere Möglichkeit: unbemerkt Subdomains anzulegen, die auf bösartige Server zeigen, ohne dass der Betreiber des DNS-Servers es merkt³. Derselbe Text stellt klar, dass ein großer Teil dieser Aktivität außerhalb des Blickfelds der betroffenen Organisation stattfindet, was die Erkennung erschwert³.

Das DNS dient auch als Befehlskanal. Bei der Technik des DNS-Beaconings laufen Befehle über DNS-Anfragen, in Einträgen vom Typ TXT oder A. Diese Beacons sind schwer zu erkennen, weil sie selten mit den infizierten Geräten kommunizieren und deshalb im normalen Verkehr untergehen⁴. Die dynamische Auflösung wiederum erlaubt es einer Schadsoftware, den verwendeten Domainnamen, die IP-Adresse oder den Port anzupassen⁵.

• Lesen Sie die angezeigte Adresse, bevor Sie ein Passwort oder Daten eingeben. Vergleichen Sie sie Buchstabe für Buchstabe mit der gewohnten Adresse: Ein ähnlicher Domainname mit einem Tippfehler führt zu einer anderen Website.
• Verlassen Sie sich nicht darauf, dass der Browser keine Warnung zeigt. Ein gültiges Zertifikat beweist nicht, dass keine Umleitung stattgefunden hat².
• Öffnen Sie Ihre Dienste über Ihre Lesezeichen oder über die offizielle Adresse, die das Unternehmen mitteilt, und nicht über einen erhaltenen Link.
• Melden Sie Ihrem Support jedes ungewöhnliche Verhalten: eine unerwartete Anmeldeseite, ein Mailsystem, das sich anders verhält, eine bekannte Website, die anders aussieht.
• Ändern Sie die DNS-Einstellungen Ihres Geräts oder Ihres Büro-Routers nicht.

Erster Fallstrick: zu glauben, eine korrekte Adresse genüge. In den von der CISA beschriebenen Angriffen wird das Telefonbuch verändert, nicht die Adresse, die der Nutzer eintippt².

Zweiter Fallstrick: zu denken, das Thema betreffe nur die IT. Der Angriff beginnt mit Zugangsdaten: Die CISA verlangte von den Behörden der US-Bundesexekutive, die Passwörter der Konten zu ändern, die das DNS ändern können, und eine Multifaktor-Authentifizierung einzuführen². Sie empfiehlt phishingresistente Faktoren und rät von der Authentifizierung per SMS ab². Wer als Beschäftigte oder Beschäftigter einen Domainnamen oder ein Konto bei einem DNS-Anbieter verwaltet, ist direkt betroffen.

Dritter Fallstrick: anzunehmen, der Anbieter sei immer sicher. MITRE zählt die Kompromittierung fremder DNS-Server zu den Techniken der Angreifer, die sich so den Aufbau eigener Server sparen³.

Dienste für dynamisches DNS wie DuckDNS wurden von der Gruppe APT-C-36 genutzt, um Opfer auf Websites oder Repositories mit Schadsoftware umzuleiten⁵. Ein unbekannter Domainname ist also kein Vertrauenszeichen, wie er auch aussehen mag.

Januar 2019: die Notfallanweisung der CISA

Am 22. Januar 2019 veröffentlichte die CISA die Notfallanweisung ED 19-01, „Mitigate DNS Infrastructure Tampering“². Darin gab sie an, eine Reihe von Vorfällen der Manipulation von DNS-Infrastruktur zu verfolgen und zu wissen, dass mehrere Domains von Behörden der US-Bundesexekutive betroffen waren². Sie verpflichtete die Behörden zu vier Maßnahmen. Die ersten drei, innerhalb von 10 Werktagen umzusetzen, waren die Prüfung der öffentlichen DNS-Einträge, die Änderung der Passwörter der betroffenen Konten und die Einführung einer Multifaktor-Authentifizierung². Bei der vierten begann die CISA innerhalb von 10 Werktagen, die neuen Zertifikate in die Certificate-Transparency-Logs einzuspeisen, und die Behörden mussten diese nach Erhalt überwachen². Dem Text der CISA zufolge kam sie inzwischen zu dem Schluss, dass das Ziel der Anweisung erreicht war, und schloss sie ab².

2019: die Kampagne Sea Turtle

MITRE ordnet der Gruppe Sea Turtle die Änderung von Nameserver-Einträgen (NS) zu, die auf von ihr kontrollierte DNS-Server verwiesen, um die Antworten auf alle DNS-Anfragen zu liefern³. Zu den Referenzen von MITRE gehört eine Analyse von Cisco Talos vom 17. April 2019, „Sea Turtle: DNS Hijacking Abuses Trust In Core Internet Service“, gefolgt von einer zweiten vom 9. Juli 2019³. Die hier zitierten Quellen nennen keine Einzelheiten zu den Opfern dieser Kampagne.

Der Leitfaden NIST SP 800-81 Rev. 3, veröffentlicht im März 2026, ersetzt die Fassung von 2013¹. Er gibt Empfehlungen für den Einsatz, um das DNS-Protokoll und die DNS-Infrastruktur abzusichern, Konfigurationsfehler zu begrenzen und eine Schicht der Netzwerksicherheit hinzuzufügen¹. Zu seinen Schlüsselbegriffen zählen DNSSEC, verschlüsseltes DNS, schützendes DNS und DNS-Protokollierung¹. Die Anweisung der CISA erinnert außerdem an die Überwachung ausgestellter Zertifikate und das Inventar der verwalteten Domains².