Die unsichtbaren Zeugen — was das Internet über Angreifer
speichert.
Vierundneunzig Lookalike-Domains auf einer IP (45.79.222.138,
AS63949 Akamai-Linode), quer durch elf Marken — Instagram und
TikTok mit je zwölf, dazu FedEx, Zurich, Credit Suisse, Migros
Bank — und jede löst auf openresty mit Reverse-Eintrag
parklogic.net auf, Score null bei urlscan: Parking-Infrastruktur
der .ph-Registry, kein Live-Phishing. 24 Stunden Maximum Merge
Delay: kein Zertifikats-Eintrag ist älter als einen Tag. 33,5
Prozent der rund 10,9 Milliarden Zertifikate im Q1 2026 sind
Pre-Certificates — Stunden bis Tage vor dem Angriff im
öffentlichen Log. Chrome erzwingt CT seit April 2018, Firefox
seit Februar 2025; wer HTTPS will, kommt nicht mehr daran vorbei
— Angreifer schon gar nicht, weil eine Phishing-Seite ohne
Schloss ihr halbes Opferpublikum verliert.
Passive DNS ist der Fahrtenschreiber: Sensoren oberhalb des
Resolvers hören zu und schreiben mit, welche Domain WANN auf
welche IP zeigte — first-seen und last-seen als die zwei
Zeitstempel, die alles tragen. Certificate Transparency ist das
öffentliche Grundbuch: jede Zertifikats-Ausstellung wird
beurkundet, jeder darf reinschauen. Aus dem DigiNotar-Skandal
2011 wurde 2012 RFC 6962. Let'\''s Encrypt stellt rund 54 Prozent
aller Zertifikate aus. Provider: CIRCL.lu in Luxemburg als
öffentlicher Dienst, dazu Validin, Spamhaus, DNSDB, VirusTotal —
am Coyote-Trojaner reicht ein IP-Pivot zu 48 zusammenhängenden
Domains bei Validin. Der saubere Gegenpol zum Parking-Rauschen
ist Juniper Threat Labs Juli 2024: ein C2-Server, ein
Reverse-Passive-DNS-Pivot, plus sieben Domains und plus zwei IPs
— AsyncRAT, XWorm, VenomRAT. Und zur Ehrlichkeit gehört der
blinde Fleck: crt.sh war im Live-Fall rate-limited, der
CT-Cousin-Nachzug lief nicht durch — die Korroboration trägt
urlscan, nicht CT.
Im DACH-Winkel: Es kommt nicht nur darauf an, WAS ein Werkzeug
kann, sondern WER die Sensoren betreibt und WO die Daten liegen.
Wer seine gesamte Frühwarnung an einen einzigen US-Anbieter
hängt, hängt an dessen Rechtsraum und Preismodell — für ein
Energieunternehmen oder Spital keine Tool-Frage, sondern eine der
Handlungsfähigkeit im Ernstfall. CIRCL.lu steht als europäische,
kostenlose Alternative — kein Anti-US-Reflex, sondern
Risikomanagement mit Fallback.
Was du mitnimmst
Den Pivot-Reflex: vor dem Blocken immer erst pivotieren — weil du
nicht eine Domain blocken willst, sondern das ganze Nest. Einen
CT-Alert für deine eigene Domain bei crt.sh — 10 Minuten,
kostenlos, fängt Phishing-Klone, bevor deine Kunden draufklicken.
CAA-Records im DNS, die festlegen, welche CAs für deine Domain
ausstellen dürfen — eine ganze Klasse von Missbrauch fällt weg,
bevor irgendjemand pivotieren muss. Angreifer-Infrastruktur über
Monate tracken und Namensmuster sowie
first-seen-/last-seen-Rhythmen lesen — aus reaktivem Blocken wird
vorausschauendes Erkennen. Und die Disziplin, bei der ersten
schönen Zahl nicht stehenzubleiben: Registrierung plus Parking
ist noch keine Kampagne; ein Lookalike-Name ist erst dann
Angreifer-Infrastruktur, wenn er aktiv ist und zeitlich
eingegrenzt bestätigt ist — geparkte Domains wandern auf die
Watchlist und schlagen erst bei Scharfschaltung an. Cliff-Marker
auf die nächste Folge: C2-Infrastruktur — wie kurz so ein Server
wirklich lebt, und warum die Jagd nach einzelnen IOCs allein
nicht mehr trägt.
Geschüttelt. Nicht gerührt.
Kommentare (0)
Melde dich an, um einen Kommentar zu schreiben.