Phishing-Kampagnen, die auf den USPS abzielen, verzeichnen genauso viel Webtraffic wie der USPS selbst

• Nach der Weihnachtszeit 2023 entdeckten Akamai-Forscher Schadaktivitäten sowie Domains, die angeblich mit dem United States Postal Service (USPS) in Verbindung gebracht wurden.

• Die Forscher von Akamai verglichen den DNS-Traffic aus fünf Monaten für die rechtmäßige Domain usps[.]com mit dem DNS-Traffic für die unrechtmäßigen Combosquatting-Domainnamen. 

• Durch diese Analyse haben wir festgestellt, dass die Anzahl der DNS-Abfragen an die gesammelten schädlichen Domains im Allgemeinen ungefähr der Anzahl der Abfragen an usps[.]com entspricht und in Spitzenzeiten sogar übertrifft.

Die Filter, die wir angewendet haben, sind ziemlich streng: Wir nehmen keine vollständig qualifizierten Domainnamen wie us.ps393[.]com oder usps.parceltracker-US[.]com mit auf, da diese die Subdomain betreffen. Um die Genauigkeit zu gewährleisten, haben wir nur die offensichtlichsten Beispiele aufgenommen, die die Combosquatting-Technik verwenden.

Unsere rigorosen Parameter hatten zur Folge, dass wir bei unserer Analyse äußerst konservativ waren. Trotzdem konnten wir eine außergewöhnliche Menge an böswilligem Traffic verzeichnen. Das wahre Ausmaß dieser Imitationen ist also vermutlich noch erstaunlicher. Wir hätten auf jeden Fall deutlich mehr schädliche Domains sammeln können, die den USPS imitieren. Es war jedoch wichtig, keine False Positives in diesen Datensatz aufzunehmen.

Alle nachfolgenden Statistiken werden aus den für diese Analyse verfügbaren Daten abgeleitet. Es mag sich zwar um eine sehr große Probengröße handeln, aber es ist immer noch eine Auswahl, und ihre Größe sorgt für niedrigere Zahlen. Dies gilt sowohl für den schädlichen Datensatz als auch für den rechtmäßigen usps[.]com-Datensatz selbst.

Tabelle 1: Schädliche Domains, die den meisten DNS-Traffic aufwiesen

Wenn wir einen Blick auf die blauen Balken in Abbildung 3 werfen, sehen wir, dass der Traffic für usps-stampservice[.]com am 23. November begann, also einen Tag vor dem Black Friday. Die Seite war bis zum 1. Dezember aktiv. Danach gab es zu dieser Seite keinen Traffic mehr. Wir gehen davon aus, dass die Cyberkriminellen ab diesem Zeitpunkt keine Textnachrichten mehr an potenzielle Opfer sendeten. Die Website wurde dann wahrscheinlich heruntergefahren, da wir derzeit nicht darauf zugreifen können.

Betrachten wir nun die andere Domain: uspspost[.]me (die orangefarbenen Balken in Abbildung 3). Diese Domain scheint sich auf die Weihnachtszeit und interessanterweise auf den 6. Dezember konzentriert zu haben. Wenn dies mit dem Nikolaustagin Bezug steht, zielte die Kampagne auf eine bestimmte Nische ab, denn der Nikolaustag wird nur an wenigen Orten in den USA gefeiert. Diese Kampagne hat sich möglicherweise auch auf die übrigen Cyber-Monday-Kunden konzentriert.

Tabelle 2: Die beliebtesten TLDs, die mit den schädlichen Kerndomains verknüpft sind

Die TLD [.]com ist die beliebteste für die Registrierung neuer Domains. Wir verzeichnen fast 4.500 eindeutige .com-Domains in unseren Daten. Das ist nicht verwunderlich, da ein [.]com den potenziellen Opfern weltweit ein Gefühl von Vertrautheit und Legitimität vermitteln kann.

Die TLD [.]top scheint die bevorzugte TLD-Alternative der Cyberkriminellen zu sein. Sie steht mit mehr als 3.000 verschiedenen Domainnamen an zweiter Stelle. Diese generische TLD wird von einem Technologieunternehmen in China betrieben. Sie ist für ihren häufigen kriminellen Einsatz in Verbindung mit Phishing-Kampagnen bekannt.

Interessanterweise taucht die TLD [.]world nicht in der Tabelle auf. Das liegt daran, dass wir für [.]world insgesamt 170.126 Abfragen gezählt haben (sehr hoch, fast auf einer Stufe mit [.]com und [.]top), aber 99,5 % davon wurden nur an usps-post[.]world weitergeleitet (und wie Sie sich erinnern, war usps-post[.]world der Domainname, der die meisten Abfragen erhielt). Wir haben nur wenige Domainnamen unter dieser TLD gefunden.

Tabelle 3: IP-Adresse schädlicher Kerndomains

Die IP-Adressen von QuadraNet verweisen nur auf wenige Domainnamen, aber dennoch ist ein hoher Traffic zu verzeichnen.

Mit den IP-Adressen, die auf Amazon verweisen, sind eine große Anzahl von Domainnamen verknüpft, aber jede Domain ist für nur eine kleine Anzahl von Abfragen verantwortlich.

Die naheliegende Erklärung ist, dass es sich hier um zwei verschiedene Phishing-Angriffe handelt. In einem dieser Fälle haben die Betrüger die Entscheidung getroffen, den Traffic auf viele verschiedene Domainnamen zu verteilen.  Die andere Kampagne umfasst nur einige wenige Domains, von denen jede einzelne viel Traffic verzeichnet.

Wir können auch einen Blick auf den Verlauf werfen. In Abbildung 7 werden dieselben Zahlen pro Woche zusammengefasst.

Der Traffic ist nicht nur an einem normalen Tag relativ äquivalent, in einigen Wochen erhalten die schädlichen Domains sogar mehr Abfragen als usps.com selbst. Diese Spitzenwerte sehen wir um Thanksgiving (Black Friday) und die Weihnachtsfeiertage herum – die geschäftigste Lieferzeit des Jahres in den USA.

Die Bedrohungsakteure sind sich dieser Feiertage, an denen viel geschenkt wird, wohl bewusst und planen ihre Phishing-Kampagnen entsprechend. Ein derartiges Verhalten liegt nahe, da weitaus mehr Leute zu diesen Zeiträumen Päckchen oder Pakete erwarten dürften. Die Feiertage sind auch eine besonders geschäftige Zeit für Menschen. Das bedeutet, dass sie mit größerer Wahrscheinlichkeit unvorsichtige Fehler machen, die sie sonst nicht machen würden, wie z. B. auf diese Betrugsnachrichten zu klicken.

Wir haben herausgefunden, dass der USPS anhand einer SMS-Betrugsmasche angegriffen wird. Insbesondere geschieht das während der Weihnachtszeit und an Thanksgiving, weil an diesen Feiertagenhäufig Geschenke versandt werden.

Die Gesamtzahl der Abfragen von schädlichen Domains im Vergleich zu usps[.]com ist nahezu gleich, selbst wenn nur Domains mit explizitem USPS-Akronym gezählt werden. Obwohl der USPS in dieser Analyse mit 51 % der gesamten Abfragen für diesen Zeitraum von 5 Monaten einen leichten Vorsprung gewonnen hat, legt die Art und Weise, wie wir die Daten gefiltert haben, nahe, dass der Schadtraffic den legitimen Traffic in der realen Welt deutlich übertrifft. Wir haben den USPS als Beispiel verwendet, aber diese Combosquatting-Technik kommt weltweit in Phishing-Kampagnen zum Einsatz, und zwar aus gutem Grund: Sie ist äußerst erfolgreich.

Wir haben zwei verschiedene Ansätze von den Cyberkriminellen gesehen: Sie verteilten den Traffic entweder über viele verschiedene Domainnamen oder verwendeten nur wenige Domains, die jeweils viel Traffic verzeichneten. Dies könnte zu Verschleierungszwecken erfolgen: Betreiber und andere Hosting-Anbieter sind sich der Allgegenwart dieser Betrugsfälle bewusst und versuchen, diese Seiten zu identifizieren und zu entfernen. Wenn man bedenkt, mit welchem Aufwand versucht wird, diese Betrugsmaschen zu beseitigen, macht das die Ergebnisse und unsere Beobachtungen nur noch besorgniserregender.

Wir werden diese Bedrohungen weiterhin überwachen und melden, sowohl für unsere Kunden als auch für die Sicherheitscommunity insgesamt.