Das im Combosquatting am häufigsten verwendete Wort ist „Support“.

Cyberkriminelle imitieren täglich die Websites von Marken. Deren Betrieb wäre in der Praxis schwer umzusetzen; so wäre beispielsweise schwierig, das dazu notwendige physische Gebäude zu bekommen. Online jedoch können diese Cyberkriminellen gut konzipierte, ähnlich aussehende Websites hosten, die imitierte Domainnamen umfassen. 

Häufig werden diese Websites auf Domänennamen gehostet, die der Domain der ursprünglichen Marke sehr ähnlich sind. Wir bezeichnen diese als „Cybersquatted Domains“.

Unsere Analyse schädlicher Domains hat gezeigt, dass Combosquatting die größte Bedrohung aus dem Bereich Cybersquatting ist. In diesem Beitrag zeigen wir, wie wir Combosquatting im DNS-Traffic erkennen können, und listen die häufigsten Combosquatting-Schlüsselwörter auf, die Angreifer verwenden, um Unternehmen und Einzelpersonen gleichermaßen zu täuschen. 

Bei Cybersquatted Domains handelt es sich um Domainnamen, die Cyberkriminellen registriert haben und verwenden, um vom Geschäftswert einer Marke oder eines Namens zu profitieren, obwohl sie nicht die Eigentümer sind. Cybersquatting wird häufig als Wegbereiter für Kampagnen zur Installation von Ransomware (z. B. durch Malvertising), Phishing-Versuche oder Identitätsdiebstahl angesehen. 

Tabelle 1: Die Varianten von Cybersquatting

Unter diesen Varianten muss das Dotsquatting separat erwähnt werden. Während unserer Recherche in vorhandener Literatur fanden wir davon keine Erwähnung. Da in unseren Daten jedoch häufig Fälle von Dotsquatting auftauchen, haben wir es als eigene Kategorie eingestuft. Dotsquatting ist der beschreibende Name, den unser Team dieser Variante gegeben hat, um so haben wir es auch hier genannt.

Es gibt einige Parallelen zwischen den verschiedenen Arten von Squatting, insbesondere zwischen dem Bitsquatting und dem Typosquatting. Das obige Beispiel zum Bitsquatting ist ein Beleg dafür: Da das „g“ auf einer QWERTY-Tastatur neben dem „f“ steht, könnte dies auch als Typosquatting betrachtet werden.

Diese Arten schließen sich auch nicht gegenseitig aus. Ein einzelner Domainname kann auch eine Kombination aus mehrere Arten von Squatting sein, z. B. safebank-security[.]co, das sowohl als Combosquatting als auch als TLD-Squatting angesehen werden kann.

Und schließlich deckt Tabelle 1 nicht alle Arten von Cybersquatting ab, die es in der Praxis gibt. Und es werden wahrscheinlich in Zukunft noch mehr Varianten entstehen, da sich diese Angriffsvektoren sich tendenziell weiterentwickeln.

Finanzielle Schäden und die Auswirkungen von Cybersquatting gibt es schon seit vielen Jahren, doch es bleibt weiterhin eine enorme Bedrohung sowohl für Unternehmen als auch für Einzelpersonen.  

Der Begriff wird auch in allgemeineren Kontexten verwendet. Typische Methoden aus diesem Bereich sind Domainnamen-Warehousing und Domainnamen-Frontrunning. Jemand kauft zum Beispiel coke[.]net (TLD-Squatting) und versucht, die Domain mit hohem Gewinn an die Coca-Cola Company zu verkaufen. Eine weitere häufig vorkommende Art der Monetarisierung ist Affiliate Marketing durch Hit Stealing. Beispielsweise die Registrierung von Payypal[.]com und das anschließende Weiterleiten von Besuchern an die echte Website über einen Referenzcode. Es werden sehr viele Angriffe durchgeführt, und meistens sind sie erfolgreich. Diese Erfolge aus der Vergangenheit führten dazu, dass verschiedene Gesetze und Vorschriften entstanden, einschließlich des U.S. Anti-Cybersquatting Consumer Protection Act (ACPA).

2023 wurde Reddit Opfer einer gezielten Phishing-Kampagne. Teil des Angriffs war eine Website, die auf einer Cybersquatted Domain gehostet wurde und das Verhalten des Intranet-Gateways klonte, Diese Domain benennt Reddit implizit in seiner Security Incident Response. Die Cyberkriminellen haben sich Zugang zu eingeschränkten Informationen von Mitarbeitern und Werbetreibenden verschafft.

2011 wurde Facebook zum Opfer eines Angriffs mit mehr als 100 ähnlich aussehende Domainnamen, die durch einfache Schreibfehler entstanden sind. Facebook erhielt später Schadenersatz in Höhe von fast 2,8 Millionen US-Dollar.

Es können auch Verbraucher direkt ins Visier genommen werden. Im Oktober 2022 meldete BleepingComputer eine umfangreiche Typosquatting-Kampagne mit dem Ziel, Menschen dazu zu bringen, mit Malware infizierte Apps zu installieren. Die Opfer infizierten sich mit Keyloggern und Malware, die Anmeldedaten von Bankkonten und Wallets von Kryptowährung gestohlen hat.

In unserer Analyse von 2022 war Combosquatting die häufigste Art von Cybersquatting was eindeutige Domainnamen angeht. Mit anderen Worten: Cyberkriminelle nutzen viel häufiger Combosquatting als Teil ihres Angriffsvektors als andere Arten von Cybersquatting.

Combosquatting schien auch die meisten DNS-Abfragen zu generieren, wobei jede dieser Abfragen ein potenzielles Opfer darstellt, das eine schädliche Domain besucht.

Diese beiden Fakten machen das Combosquatting laut unserer Analyse zur größten Bedrohung im Bereich Cybersquatting.

Diese Erkenntnisse unseres Teams decken sich mit den Ergebnissen einer groß angelegte Studie von 2017, die sich speziell auf Combosquatting konzentriert hat: „Wir stellen fest, dass Combosquatting-Domänen 100 Mal häufiger vorkommen als Typosquatting-Domains.“

Trotz alledem haben wir den Eindruck, dass das Typosquatting – nicht das Combosquatting – die Variante ist, die in Forschung, Blogs und Zeitschriften die größte Aufmerksamkeit erhält. Als Forscher konnten wir keine Daten finden, die diese Aufmerksamkeit für das Typosquatting rechtfertigen. Die Daten, die wir gesehen haben, lassen uns vermuten, dass es Cyberkriminellen mehr als gelegen kommt, dass das Typosquatting die meiste Aufmerksamkeit erhält. So bleibt das Combosquatting weiterhin unter dem Radar. 

Tabelle 2: Beispiele für Schlüsselwörter und die Gefühle, die sie auslösen

Der Markenname (safebank) lässt den Link legitim wirken. Die Tatsache, dass ein Link einen Markennamen enthält, macht ihn natürlich nicht sicher. Nichts hindert Menschen daran, Domainnamen mit markenrechtlich geschützten Markennamen zu registrieren. Es ist klar, dass das Ziel des Angreifers hier darin besteht, beim Nutzer eine schnelle, emotionale Reaktion anstatt einer rationalen auszulösen. Die Kombination der Marke mit einem Stichwort scheint eine sinnvolle Möglichkeit zu sein, das zu erreichen.

Wie nutzen wir dieses Wissen, um Menschen zu schützen?

Als Forschungsteam im Bereich Cybersicherheit verfügen wir über die leistungsfähigste aller Waffen: Daten! Wir haben Zugriff auf eine riesige Liste von Domains, die wir als schädlich gekennzeichnet haben. Diese Liste teilen wir mit unseren Kunden und sie ermöglicht ihnen, Endnutzer beim Surfen im Internet zu schützen. Darüber hinaus können wir DNS-Traffic-Daten verwenden, um Trends bei Schlüsselwörtern, die in neuen Domains vorkommen, zu beobachten, und zwar sowohl in gutartigen als auch in schädlichen Domains. 

Es ist wichtig zu erwähnen, dass der Datensatz, den wir für diese Analyse verwendet haben, nur schädliche Phishing-Domains enthält. Dadurch konnten wir uns ausschließlich darauf konzentrieren, welche Schlüsselwörter Angreifer gegenwärtig aktiv verwenden. Jede Eingabe wurde durch mehrere interne Prozesse als Phishing-Angriff markiert, um Genauigkeit zu gewährleisten. In diesem Abschnitt erläutern wir kurz, wie wir die Liste der häufig verwendeten Schlüsselwörter zusammengestellt haben.

Sie erinnern sich vielleicht daran, dass Schlüsselwörter mal durch einen Bindestrich an eine Marke angehängt und mal direkt mit dem Namen verkettet werden.

Die ehemaligen Schlüsselwörter sind leicht zu finden – wir müssen einen Domainnamen nur mit Bindestrichen unterteilen, da Bindestriche natürliche Trennzeichen sind. Zum Beispiel: Nehmen wir an, wir haben eine Domain amazon-e[.]com. Der Bindestrich ist ein eindeutiger Hinweis darauf, wobei es sich um die die Schlüsselwörter handel: Der Markenname Amazon und das Schlüsselwort e. Ganz einfach. 

Die direkt verketteten Schlüsselwörter stellen jedoch eine viel größere Herausforderung dar. Sie erfordern eine Vielzahl von Wissenspunkten, wie Sprache, lokalisierte Marken und sogar Browserverhalten. Überlappungen von Schlüsselwörtern sind ein häufiges Beispiel dafür. 

Werfen wir einmal einen Blick auf amazone[.]com. Hier können wir nicht sagen, ob es sich um die Marke Ama (Italienischer Hersteller von Lederschuhen), Amaz (Griechischer Damenmode-Designer) oder Amazon (Amerikanisches Technologieunternehmen) handelt. Diese Domain bietet die folgenden Optionen von Schlüsselwörtern: zone, one, e, die alle valide wären.

Jetzt vereinfachen wir die Aufgabe erheblich. Wir beschränken die Analyse auf die erste Art von Schlüsselwörtern, die einfach zu extrahieren sind: Die Domainnamen, die Bindestriche enthalten. Wegen der schieren Menge an Daten sollte die Verteilung innerhalb dieser Teilmenge der Verteilung innerhalb des gesamten Datensatzes entsprechen.  

Kurz gesagt, der ursprüngliche Prozess umfasste vier Hauptschritte:

1. Die Domainnamen aus unserer Phishing-Liste als Eingabe verwenden 

2. Die TLD entfernen

3. Die verbleibende Liste nach gängigen Markennamen filtern 

4. Durch einen Bindestrich trennen

Sobald diese vier Schritte abgeschlossen sind, sammeln wir alle daraus resultierenden Wörter in einer langen Liste. Wir haben diese Liste weiter verfeinert (indem wir die Markennamen entfernt haben), sodass nur die Schlüsselwörter übrig blieben. Schließlich haben wir alle Schlüsselwörter kompiliert und gezählt.

Tabelle 3: Die 10 Schlüsselwörter, die am häufigsten verwendet werden, in der Reihenfolge ihrer Beliebtheit

So erhalten wir einen sehr klaren Überblick, welche Schlüsselwörter Angreifer benutzen, um Opfer zu betrügen. Wie Sie sehen, ist das am häufigsten verwendete Schlüsselwort im Combosquatting „Support.“ Der Grund dafür ist wahrscheinlich, dass legitime Supportseiten häufig Portale innerhalb einer Site sind, sodass die URL ungefähr so aussieht: support[.]company-name[.]com. 

Überraschenderweise fanden wir „com“. Von diesem Schlüsselwort haben wir nicht erwartet, dass es einen so hohen Platz in der Rangfolge einnimmt, und wir das hätten ohne den datengesteuerten Ansatz und unseren umfangreichen Datensatz nie erfahren. Einige Beispiele sind accountpaypal-com[.]Info und com-apple[.]co.

Eine weitere ist „jp“, die TLD für Japan. Einige Beispiele sind apple1-jp[.]com und jp-rakuten[.]com. In dieser Liste finden sich mehrere Schlüsselwörter, die TLD-Codes sind: „US“, „UK“ und „FR“. Dies kann darauf hinweisen, dass diese Länder am stärksten betroffen sind.