Tausende Phishing-Domains tarnen sich mit harmlosen Fehlerseiten

Die Betreiber verbergen ihre betrügerischen Webseiten hinter scheinbar unauffälligen Fehlerseiten, sodass herkömmliche Sicherheitsprüfungen die aktiven Phishing-Inhalte möglicherweise nicht erkennen.

Fehlerseiten verschleiern aktive Angriffe

Beim Aufruf einer verdächtigen Domain erscheint häufig lediglich eine generische 404- oder „Not Found“-Meldung. Die eigentlichen Phishing-Seiten sind dagegen über bestimmte Unterverzeichnisse, regionale Pfade oder sitzungsabhängige Zugriffsmechanismen erreichbar. So kann eine Domain beispielsweise über einen Pfad wie /de oder /it Inhalte in der jeweiligen Landessprache ausliefern, während die Startseite unauffällig bleibt.

Das erschwert die Erkennung, insbesondere wenn Angreifer vollständige URLs über E-Mail, SMS oder Messenger verbreiten. Wird nur die Hauptdomain überprüft, bleiben die dahinterliegenden Betrugsseiten unter Umständen verborgen.

„Eine 404-Seite soll eigentlich darauf hinweisen, dass dort nichts zu finden ist“, erklärt Yehonatan Wiesel, Sicherheitsforscher bei Check Point. In diesem Fall sei die Fehlerseite Teil der Täuschung. Lokalisierungslogik, Validierungsmechanismen und sitzungsbasierte Kontrollen erschwerten es Forschern und automatisierten Scannern, die eigentlichen Inhalte aufzurufen.

Technische Gemeinsamkeiten führen zu Tausenden Domains

Ausgangspunkt der Untersuchung waren wenige bekannte Phishing-URLs. Die Forscher suchten anschließend nach wiederkehrenden technischen Merkmalen, um weitere Teile der Infrastruktur aufzuspüren. Dabei kombinierten sie Hinweise auf den GoFrame-HTTP-Server und Caddy mit charakteristischem Antwortverhalten und weiteren Eigenschaften der Anwendungen.

Aus rund 19.000 ersten Treffern grenzten sie die Suche auf 322 infrage kommende IP-Adressen ein. Eine Erhebung im September erfasste 10.187 zugehörige Domains. Rund 90 Prozent davon wurden der höchsten Kategorie für bösartige Aktivitäten zugeordnet. Eine spätere Momentaufnahme umfasste noch 5.785 Domains. Die Unterschiede verdeutlichen, wie stark sich die Infrastruktur verändert.

Die wechselnden Domains und IP-Zuordnungen erschweren es, einzelne Adressen langfristig als zuverlässige Warnsignale zu nutzen. Wiederkehrende technische Eigenschaften bieten den Forschern zufolge bessere Ansatzpunkte, um zusammengehörige Systeme auch nach Veränderungen zu identifizieren.

Regionale Kampagnen nutzen eine gemeinsame technische Basis

Die Analyse von 500 Domains aus dem ermittelten Cluster zeigte Phishing-Kampagnen in zahlreichen Ländern und Branchen. In Südostasien richteten sich die Angriffe unter anderem gegen Banken, Finanzdienstleister und Bonusprogramme. In Europa wurden unter anderem Verkehrs- und Parkdienste, Steuerstellen, Behörden und Paketdienste nachgeahmt.

Weitere Kampagnen zielten auf Finanzinstitute, staatliche Stellen, Postdienste und Sozialleistungsprogramme in Lateinamerika. Auch Angriffe mit regional angepassten Inhalten in Israel, Australien sowie verschiedenen Teilen Afrikas und Asiens wurden beobachtet.

Trotz unterschiedlicher Marken, Sprachen und Themen fanden die Forscher gemeinsame technische Strukturen. Dazu gehörten wiederverwendbare Konfigurationen, gemeinsame APIs, Lokalisierungsmechanismen und sitzungsabhängige Abläufe. Die Infrastruktur lässt sich dadurch offenbar für unterschiedliche Kampagnen anpassen, ohne dass dafür jeweils ein vollständig neues technisches System erforderlich ist.

Verhaltensmuster sind wichtiger als einzelne Domains

Für die Sicherheitsüberwachung ergibt sich daraus, dass eine unauffällige Startseite allein keine ausreichende Entwarnung bietet. Check Point empfiehlt mit seinen Untersuchungsergebnissen vor allem einen Blick auf das Zusammenspiel technischer Merkmale. Dazu zählen ungewöhnliche Serverkonfigurationen, regionale Verzeichnisse, Endpunkte zur Token-Erzeugung, wiederkehrende API-Strukturen und Zugriffskontrollen, die Inhalte abhängig von einer Sitzung ausliefern.

Die Forscher konnten die Infrastruktur bislang keinem bestimmten Phishing-Kit, Dienstanbieter, Betreiber oder einer konkreten Bedrohungsgruppe eindeutig zuordnen. Die Ergebnisse sprechen für ein gemeinsam genutztes technisches Framework. Eine belastbare Zuordnung zu einem bestimmten Akteur würde jedoch weitere Belege erfordern.

Für Unternehmen bedeutet das, dass die Erkennung von Phishing nicht allein auf Domain-Reputation und bekannten schädlichen URLs beruhen sollte. Auch technische Fingerabdrücke und das Verhalten von Webanwendungen können Hinweise liefern, wenn Angreifer ihre Infrastruktur laufend verändern und ihre eigentlichen Inhalte gezielt verbergen.

(red/Check Point)