Passive DNS & Certificate Transparency

Die unsichtbaren Zeugen — was das Internet über Angreifer
speichert.


Vierundneunzig Lookalike-Domains auf einer IP (45.79.222.138,
AS63949 Akamai-Linode), quer durch elf Marken — Instagram und
TikTok mit je zwölf, dazu FedEx, Zurich, Credit Suisse, Migros
Bank — und jede löst auf openresty mit Reverse-Eintrag
parklogic.net auf, Score null bei urlscan: Parking-Infrastruktur
der .ph-Registry, kein Live-Phishing. 24 Stunden Maximum Merge
Delay: kein Zertifikats-Eintrag ist älter als einen Tag. 33,5
Prozent der rund 10,9 Milliarden Zertifikate im Q1 2026 sind
Pre-Certificates — Stunden bis Tage vor dem Angriff im
öffentlichen Log. Chrome erzwingt CT seit April 2018, Firefox
seit Februar 2025; wer HTTPS will, kommt nicht mehr daran vorbei
— Angreifer schon gar nicht, weil eine Phishing-Seite ohne
Schloss ihr halbes Opferpublikum verliert.


Passive DNS ist der Fahrtenschreiber: Sensoren oberhalb des
Resolvers hören zu und schreiben mit, welche Domain WANN auf
welche IP zeigte — first-seen und last-seen als die zwei
Zeitstempel, die alles tragen. Certificate Transparency ist das
öffentliche Grundbuch: jede Zertifikats-Ausstellung wird
beurkundet, jeder darf reinschauen. Aus dem DigiNotar-Skandal
2011 wurde 2012 RFC 6962. Let'\''s Encrypt stellt rund 54 Prozent
aller Zertifikate aus. Provider: CIRCL.lu in Luxemburg als
öffentlicher Dienst, dazu Validin, Spamhaus, DNSDB, VirusTotal —
am Coyote-Trojaner reicht ein IP-Pivot zu 48 zusammenhängenden
Domains bei Validin. Der saubere Gegenpol zum Parking-Rauschen
ist Juniper Threat Labs Juli 2024: ein C2-Server, ein
Reverse-Passive-DNS-Pivot, plus sieben Domains und plus zwei IPs
— AsyncRAT, XWorm, VenomRAT. Und zur Ehrlichkeit gehört der
blinde Fleck: crt.sh war im Live-Fall rate-limited, der
CT-Cousin-Nachzug lief nicht durch — die Korroboration trägt
urlscan, nicht CT.


Im DACH-Winkel: Es kommt nicht nur darauf an, WAS ein Werkzeug
kann, sondern WER die Sensoren betreibt und WO die Daten liegen.
Wer seine gesamte Frühwarnung an einen einzigen US-Anbieter
hängt, hängt an dessen Rechtsraum und Preismodell — für ein
Energieunternehmen oder Spital keine Tool-Frage, sondern eine der
Handlungsfähigkeit im Ernstfall. CIRCL.lu steht als europäische,
kostenlose Alternative — kein Anti-US-Reflex, sondern
Risikomanagement mit Fallback.


Was du mitnimmst


Den Pivot-Reflex: vor dem Blocken immer erst pivotieren — weil du
nicht eine Domain blocken willst, sondern das ganze Nest. Einen
CT-Alert für deine eigene Domain bei crt.sh — 10 Minuten,
kostenlos, fängt Phishing-Klone, bevor deine Kunden draufklicken.
CAA-Records im DNS, die festlegen, welche CAs für deine Domain
ausstellen dürfen — eine ganze Klasse von Missbrauch fällt weg,
bevor irgendjemand pivotieren muss. Angreifer-Infrastruktur über
Monate tracken und Namensmuster sowie
first-seen-/last-seen-Rhythmen lesen — aus reaktivem Blocken wird
vorausschauendes Erkennen. Und die Disziplin, bei der ersten
schönen Zahl nicht stehenzubleiben: Registrierung plus Parking
ist noch keine Kampagne; ein Lookalike-Name ist erst dann
Angreifer-Infrastruktur, wenn er aktiv ist und zeitlich
eingegrenzt bestätigt ist — geparkte Domains wandern auf die
Watchlist und schlagen erst bei Scharfschaltung an. Cliff-Marker
auf die nächste Folge: C2-Infrastruktur — wie kurz so ein Server
wirklich lebt, und warum die Jagd nach einzelnen IOCs allein
nicht mehr trägt.


Geschüttelt. Nicht gerührt.