Grundlegender Leitfaden zum DNS-Hijacking: Best Practices für Unternehmen

Was ist DNS-Hijacking?

Bei einem DNS-Hijacking-Angriff leitet ein Dritter die Webbesucher:innen Ihres Unternehmens nahtlos an gefälschte Websites weiter, um ohne das Wissen Ihrer Kunden:innen Anmeldeinformationen und andere Daten zu stehlen. Angreifer:innen können auch Informationen aus Unternehmens-E-Mails sammeln, um ausgeklügelte Phishing-Kampagnen und andere Angriffe zu starten, die scheinbar von Ihren Domains stammen. Abgesehen von Datensicherheitsrisiken und Markenschäden wirft dies erhebliche Bedenken hinsichtlich des Datenschutzes auf, insbesondere bei Vorschriften wie der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union.

Wie kommt es zu DNS-Hijacking?

Das DNS fungiert grundsätzlich als das Adressbuch des Internets. Wenn eine Person einen Domainnamen in einen Webbrowser eingibt, übersetzt das DNS diesen Namen in eine entsprechende Internetprotokolladresse (IP-Adresse), also eine eindeutige Zahlenfolge. Anhand dieser Adresse erkennen Webbrowser, wohin der Datenverkehr geleitet werden soll.

Warum DNS so wichtig ist:
in Verbindung mit

• Websites

• Interne und externe APIs

• Apps und E-Mail

• VoIP und Instant Messaging

• Cloud-Integration

• Authentifizierung und Kontrolle – O365, DMARC, SPF, Google, DNSSEC

DNS-Hijacking tritt auf, wenn böswillige Akteure den DNS-Prozess kompromittieren, indem sie DNS-Einträge ändern, Anfragen umleiten oder die Kontrolle über DNS-Server übernehmen. Dadurch werden legitime Anfragen an bösartige Websites in verschiedenen Hosting-Umgebungen gesendet. Dies kann durch kompromittierte DNS-Anbieterkonten, Sicherheitslücken in DNS-Servern oder eine schlecht gesicherte Netzwerkinfrastruktur, beispielsweise in Form eines Routers mit Standardzugangsdaten, geschehen.

DNS-Hijacking vs. andere DNS-basierte Bedrohungen

DNS-Hijacking vs. Domain-Hijacking

Domain-Hijacking oder Domain-Namen-Hijacking gibt Angreifer:innen die volle Kontrolle über eine Domain, indem sie Registrar-Anmeldeinformationen stehlen oder die Eigentumsrechte auf betrügerische Weise übertragen. Anders als beim DNS-Hijacking, bei dem die Auflösungspfade manipuliert werden, ohne dass die Eigentumsverhältnisse der Domain unbedingt geändert werden, ermöglicht das Domain-Hijacking es Angreifern:innen, DNS-Einstellungen zu ändern, Domains zu übertragen oder sie gegen Lösegeld zu sperren. Das führt zu lang anhaltenden Störungen. Reverse Domain Hijacking ist eine Taktik in Rechtsstreitigkeiten, bei der eine Partei fälschlicherweise Markenrechte geltend macht, um einem/einer rechtmäßigen Inhaber:in eine Domain zu entziehen. Dies hat nichts mit DNS- oder Domain-Hijacking zu tun. Weitere Informationen dazu finden Sie unter Wie sich Cybersquatting, Typosquatting und andere Domain-Streitigkeiten auf Unternehmen auswirken.

DNS-Hijacking vs. DNS-Poisoning

Bei einem DNS-Poisoning-Angriff schleusen Cyberkriminelle falsche DNS-Einträge in den Cache eines DNS-Resolvers ein. Dadurch gibt der Resolver eine falsche IP-Adresse zurück, fängt Nutzer:innen ab und leitet sie an bösartige Websites weiter. In der Regel verfallen die „vergifteten“ Datensätze, sobald der Cache aktualisiert wird.

Durch die Umleitung des Datenverkehrs mittels DNS-Hijacking oder -Poisoning können Angreifende Nutzer:innen dazu verleiten, bösartige Websites zu besuchen. DNS-Poisoning ist besonders gefährlich, da es Angreifenden ermöglicht, die Kommunikation abzufangen und zu manipulieren, was Man-in-the-Middle-Angriffe erleichtert. Beim DNS-Hijacking hingegen werden Nutzer:innen in erster Linie auf vom Angreifenden kontrollierte Ziele umgeleitet, wo sie möglicherweise unwissentlich Anmeldedaten eingeben oder Malware herunterladen.

Beim Man-in-the-Middle-Angriff

• wird die ursprüngliche Verbindung zwischen Nutzer:innen und Website von einem Man-in-the-Middle abgefangen und manipuliert

Domain-Hijacking vs. Domain-Shadowing

Domain-Shadowing ist eine weitere DNS-basierte Bedrohung. Dabei verwenden Angreifende kompromittierte Anmeldedaten, um auf Domaineinstellungen zuzugreifen. Anstatt bestehende DNS-Einträge zu ändern, erstellen sie unbemerkt vom Domaininhaber oder der Domaininhaberin neue, bösartige Subdomains. Anders als beim DNS-Hijacking, bei dem ganze Domains umgeleitet werden, bleibt die primäre Domain beim Domain-Shadowing funktionsfähig, was die Erkennung erschwert. Diese bösartigen Subdomains werden häufig zum Phishing oder zur Verbreitung von Malware verwendet. Erfahren Sie mehr über andere Möglichkeiten, wie Angreifer:innen Subdomains ausnutzen können.

Drei Angriffsvektoren, die beim DNS-Hijacking zum Einsatz kommen

In der Cybersicherheit bezeichnen Vektoren bestimmte Methoden oder Wege, über die eine Operation durchgeführt wird. Es gibt drei bemerkenswerte Vektoren, die von Hackern für DNS-Hijacking verwendet werden.

So stoppen Sie DNS-Hijacking

Bei DNS-Hijacking wird empfohlen, sofort Maßnahmen zu ergreifen. Hier sind die wichtigsten Schritte, um die Sicherheitsverletzung zu beheben:

1. Melden Sie sich bei Ihrem Domainregistrar oder DNS-Anbieter an, um die Kontrolle über die DNS-Umgebung zurückzugewinnen und alle von den Angreifenden vorgenommenen Änderungen rückgängig zu machen. Um die ordnungsgemäße Verbindung wiederherzustellen, stellen Sie bitte sicher, dass alle DNS-Einträge auf die richtigen Server verweisen.
2. Um nicht verifizierten Zugriff zu blockieren, sollten Sie die Passwörter ändern und die Zwei-Faktor-Authentifizierung für Ihre Domainregistrar- und DNS-Konten aktivieren.
3. Entfernen Sie bösartige DNS-Einträge. Wenn Angreifer:innen DNS-Einträge geändert haben, ersetzen Sie die schädlichen Einträge durch die korrekten Informationen für Ihre Website oder Ihren Dienst. Dadurch wird verhindert, dass Nutzer:innen auf schädliche Websites weitergeleitet werden.
4. Informieren Sie Ihre internen Teams, Partner:innen und Kunden:innen über den Vorfall. Weisen Sie sie darauf hin, betroffene Websites bis zur Behebung des Problems zu meiden.
5. Überwachen Sie nach der Korrektur der DNS-Einträge und -Einstellungen den DNS-Verkehr auf Anzeichen weiterer Manipulationen und ungewöhnlicher Aktivitäten.
6. Führen Sie eine gründliche Sicherheitsüberprüfung durch, um herauszufinden, wie der Angriff erfolgt ist. Dies kann die Stärkung Ihrer Abwehrmaßnahmen umfassen, beispielsweise die Sicherung Ihres DNS-Anbieters, Ihrer Netzwerke und Konten, um zukünftige Vorfälle zu verhindern.

So minimieren Sie das Risiko von DNS-Hijacking

Zwar ist es wichtig zu wissen, wie man einen DNS-Hijacking-Angriff stoppt, noch wichtiger ist es jedoch, einen solchen Angriff zu verhindern. Berücksichtigen Sie die folgenden Strategien zum Schutz vor DNS-Hijacking:

• Stellen Sie sicher, dass Ihre Konten bei Domainregistraren und DNS-Anbietern durch starke, eindeutige Passwörter, Zwei-Faktor-Authentifizierung und Single-Sign-On (SSO) geschützt sind. Dies verhindert einen missbräuchlichen Zugriff auf Ihre DNS-Einstellungen.
• Implementieren Sie Domain Name System Security Extensions (DNSSEC), um durch die Überprüfung der Authentizität von DNS-Antworten eine zusätzliche Sicherheitsebene hinzuzufügen.
• Überprüfen Sie regelmäßig SSL- (Secure Sockets Layer) und TLS- (Transport Layer Security) Zertifikate mit einer Zertifikatsverwaltungslösung, um sicherzustellen, dass sie gültig sind, ordnungsgemäß konfiguriert wurden und rechtzeitig erneuert werden. Dies verhindert, dass Angreifer:innen im Falle eines DNS-Hijacking-Versuchs die Identität Ihrer Website missbrauchen.
• Schützen Sie Ihre Router, Server und internen Netzwerke, indem Sie Standardpasswörter ändern, starke Verschlüsselung verwenden und die gesamte Firmware auf dem neuesten Stand halten. Dadurch werden die Schwachstellen, die für das Eindringen in Ihr DNS ausgenutzt werden können, eingeschränkt.
• Überprüfen Sie DNS-Einträge und den Datenverkehr regelmäßig auf ungewöhnliche Änderungen. Durch die frühzeitige Erkennung verdächtiger Aktivitäten kann eine Verletzung gestoppt werden, bevor sie sich durchsetzt.
• Wählen Sie einen seriösen DNS-Anbieter, der starke Sicherheitsmaßnahmen und eine kontinuierliche Überwachung bietet. Ein vertrauenswürdiger Anbieter unterstützt Sie dabei, Schwachstellen zu identifizieren und macht Sie auf potenzielle Bedrohungen aufmerksam, bevor diese eskalieren.

Wie ein Registry-Lock dabei hilft, Domain-Hijacking zu verhindern

Schützen Sie Ihr Unternehmen vor DNS-Hijacking

CSC kann Sie bei der Bewältigung einer Reihe von Bedrohungen unterstützen. DomainSec^SM bietet Ihnen einen ganzheitlichen Überblick über Sicherheitsauffälligkeiten, die Sie anfällig für Angriffe machen. Hunderte der weltweit größten Unternehmen nutzen unsere Sicherheitsdienste, wie beispielsweise MultiLock, unsere Version der Registrierungssperre, um ihre Organisation und ihre Marken zu schützen. Diese Lösungen sind die überzeugendste Methode, um Ihr Risiko im Falle eines Angriffs zu minimieren.