Typosquatting und Combosquatting

Der Angreifer wählt zuerst einen Namen, der dem seines Ziels ähnelt. MITRE beschreibt mehrere Varianten: Homoglyphen, eine andere Endung, andere Alphabete¹. Die Gruppe EXOTIC LILY etwa gab sich als andere Organisationen aus, indem sie die Endung in „.us“, „.co“ oder „.biz“ änderte¹.

Dann kauft er die Domain. Die Registrare führen jeweils eine öffentliche Datenbank, die die Kontaktdaten jeder registrierten Domain anzeigt. Private WHOIS-Dienste zeigen stattdessen ihre eigenen Angaben an, was den Inhaber verbirgt. Der Angreifer kann außerdem die Registrierungsangaben und die Registrare wechseln, um die Verfolgung seiner Infrastruktur zu erschweren¹.

Manche Domains sind für den einmaligen Gebrauch gedacht: MITRE weist darauf hin, dass Adressen dynamisch erzeugt werden können, um schädliche Inhalte nur an ein einziges Opfer auszuliefern, auch mit Domainnamen für den einmaligen Gebrauch¹. Andere Angreifer kaufen abgelaufene Domains, die von Verteidigern aufgrund ihrer Historie womöglich bereits zugelassen oder als vertrauenswürdig eingestuft sind¹.

Bleibt die Website selbst. Die Zielseite kann ein Klon eines legitimen Anmeldeportals sein oder ihm so weit ähneln, dass ihre Adresse Bestandteile der echten Website enthält⁴. Die begleitende Nachricht soll zum Klicken bewegen, manchmal mit mehreren Nachrichten, die dringend wirken⁴.

Die Nachricht scheint von einer bekannten Organisation zu stammen. Die CISA nennt Hinweise: eine Absenderadresse, die einer echten Adresse nahekommt, eine allgemeine Anrede wie „Dear Valued Customer“, eine Signatur ohne Kontaktdaten, Rechtschreibfehler und ein uneinheitliches Layout².

Der Link ist die Schwachstelle. Wenn Sie den Mauszeiger darüber bewegen und die angezeigte Adresse nicht zum Linktext passt, kann er gefälscht sein. Eine schädliche Website kann dem Original gleichen, aber ihre Adresse hat eine andere Schreibweise oder eine andere Domain, etwa .com statt .net². Auch ein Dienst zum Kürzen von Adressen kann das wirkliche Ziel verbergen².

Die Anmeldeseite kann eine Kopie des legitimen Portals sein: Die in die Formulare eingegebenen Informationen werden erfasst und an den Angreifer gesendet⁴. Bei manchen Phishing-Kits (EvilProxy, Evilginx2) wird das Opfer anschließend auf die echte Website umgeleitet, und der Angreifer erfasst zusätzlich zu Benutzername und Passwort auch das Sitzungs-Cookie⁴.

Die Sichtprüfung hat Grenzen. MITRE räumt ein, dass Homoglyphen, sowohl in ASCII als auch in internationalisierten Domains, sowie die Verschleierung von Adressen eine manuelle Prüfung erschweren können³. Deshalb sind Hilfsmittel nützlich: Warnbanner bei E-Mails von außerhalb, Filter und die Anti-Phishing-Funktionen von Browser und Mailsystem²³.

Der technische Ablauf besteht aus wenigen Schritten, die die Quellen getrennt beschreiben. Der Angreifer erwirbt eine Domain, die dem Ziel ähnelt¹. Er bereitet eine Website vor, die ein legitimes Portal klont oder dessen Aussehen nachahmt⁴. Er versendet eine E-Mail mit einem Link und einem Text, der zum Klicken oder zum Kopieren der Adresse in den Browser drängt⁴. Die Website sammelt dann die Zugangsdaten oder bietet je nach Vorwand den Download einer Datei an³⁴.

Der Link kann sein Ziel auch auf andere Weise verbergen. MITRE nennt das Adressformat mit Ganzzahlen oder hexadezimalen Zahlen als Hostnamen und die Tatsache, dass der Text vor einem „@“ ignoriert wird. Hier eine neutralisierte Illustration dieser Art von Adresse, übernommen aus dem Beispiel von MITRE⁴:

Illustration (neutralisierte Adresse):
hxxp://google[.]com@1157586937
[der Browser ignoriert „google.com“ vor dem @ und verbindet sich mit der numerischen Adresse]

Auf der Verteidigungsseite einer Organisation schlägt MITRE vor, freiwillig Domains zu registrieren, die den eigenen ähneln, um Typosquatting abzuschrecken¹, kürzlich erstellte Domains mit ähnlicher Struktur wie die eigene zu überwachen, auch unter anderer Endung¹, und SPF, DKIM und DMARC zu nutzen, um Nachrichten anhand der Gültigkeit der Absenderdomain zu filtern⁶.

Die Seiten von MITRE nennen reale Fälle ohne Datum der Kampagne: Das Datum der letzten Änderung einer Seite datiert den Vorfall nicht. Die folgenden Fälle werden daher ohne Datum dargestellt.

FIN7: ein Typosquatting-Link zu einem gefälschten Werkzeug (Datum von der Quelle nicht angegeben)

MITRE berichtet, dass FIN7 gezielte Phishing-E-Mails mit einem Typosquatting-Link auf „ip-sccanner[.]com“ versandte³. Die Gruppe registrierte außerdem eine schädliche Domain, advanced-ip-sccanner[.]com, die auf ein vom Angreifer kontrolliertes Dropbox mit der schädlichen ausführbaren Datei weiterleitete¹.

Magic Hound: für bestimmte Opfer gewählte Domains (Datum von der Quelle nicht angegeben)

Magic Hound registrierte betrügerische Domains wie „mail-newyorker[.]com“ und „news12[.]com.recover-session-service[.]site“, um bestimmte Opfer mit Phishing-Angriffen ins Visier zu nehmen¹.

Scattered Spider und Silent Librarian (Datum von der Quelle nicht angegeben)

Scattered Spider registrierte Domains, um Anmeldeportale von Unternehmen vorzutäuschen¹. Silent Librarian erwarb Domains für Seiten zum Abgreifen von Zugangsdaten, die oft die angegriffene Organisation vortäuschen, mit kostenlosen Endungen: .TK, .ML, .GA, .CF und .GQ¹.

• Lesen Sie die Adresse vor dem Klicken vollständig, von links nach rechts. Bewegen Sie den Mauszeiger über den Link und vergleichen Sie ihn mit dem angezeigten Text².
• Öffnen Sie den Dienst nicht über den erhaltenen Link: Die CISA empfiehlt, Links aus E-Mails nicht zu folgen, um persönliche oder finanzielle Angaben zu machen². Brain rät, den Weg über Ihre Lesezeichen zu nehmen. Die CISA empfiehlt außerdem, die Anfrage bei der Organisation zu überprüfen, mit Kontaktdaten aus einem früheren Austausch, nicht von der Website aus der Nachricht².
• Aktivieren Sie die Multifaktor-Authentifizierung, wenn es sie gibt².
• Melden Sie die Nachricht. Das britische NCSC gibt an, dass das Melden eines Betrugs kostenlos ist, eine Minute dauert und hilft, andere Menschen zu schützen⁵. Es kann E-Mail-Adressen und betrügerische Websites untersuchen und deren Entfernung veranlassen⁵. In einem Unternehmen folgen Sie zuerst dem internen Meldeverfahren.

• Sich allein auf das Schloss verlassen: siehe oben, die Quelle spricht von Verschlüsselung².
• Nach dem Layout urteilen: Eine Website kann ein originalgetreuer Klon des legitimen Portals sein⁴.
• Sich auf das Auge verlassen: Homoglyphen erschweren eine manuelle Prüfung³.
• Ein Passwort mehrfach verwenden: Wird ein auf einer gefälschten Website eingegebenes Passwort anderswo genutzt, muss es überall geändert werden².
• Zu viele Informationen über sich selbst veröffentlichen: Das NCSC weist darauf hin, dass Kriminelle online verfügbare Informationen, auch aus sozialen Netzwerken, nutzen, um ihre Nachrichten überzeugender zu machen⁵.