Typosquatting ist eine Social-Engineering-Technik, die Tippfehler ausnutzt, um Nutzer zu täuschen. Diese Phishing-Technik kann durch präventive Maßnahmen eines SOC überwacht werden.
Was ist Typosquatting – die Bedrohung, die Tipp- und Lesefehler ausnutzt
Typosquatting ist eine Social-Engineering-Technik, die die menschliche Neigung ausnutzt, kleine Tipp- oder Lesefehler bei URLs von Websites zu machen. Es handelt sich dabei um eine Form des Cybersquatting, bei der Einzelpersonen oder Gruppen Domains registrieren, die bekannten Marken, Unternehmen oder bestimmten Zielen stark ähneln, um Nutzer hereinzulegen.
Die Variante namens Typosquatting konzentriert sich speziell auf häufige Tippfehler. Cyberkriminelle registrieren Domains mit absichtlich eingebauten Schreibfehlern in der Hoffnung, dass Nutzer beim Surfen im Internet, beim Klicken auf Links in E-Mails oder allgemein beim Zugriff auf eine bösartige Seite durch den irreführenden Namen getäuscht werden.
Wie der Betrug durch Typosquatting abläuft
In der Regel nutzt Typosquatting Domain-Registrierungsanbieter und Content Delivery Networks (CDNs) wie Cloudflare. Cloudflare bietet beispielsweise Dienste wie Domainverwaltung und Schutz durch Reverse Proxy, die die ursprüngliche IP-Adresse des Servers hinter eigenen Autonomous System Numbers (ASN) verbergen.
Der Einsatz solcher Dienste erschwert die Rückverfolgung des tatsächlichen Standorts der besuchten Seite. Angreifer können dadurch ihre bösartigen Aktivitäten hinter legitimen Infrastrukturen verschleiern und die ursprüngliche Server-IP noch weiter verbergen.
Unternehmen, die diese Dienste bereitstellen, überwachen die registrierten Domains nicht streng, was es Kriminellen ermöglicht, typosquatting-basierte Domains zu registrieren. Häufige Beispiele sind:
- gooogle.it (zusätzliches „o“)
- arnazon.it („r“ und „n“ imitieren ein „m“)
- Ienovo.it (das „L“ ist in Wirklichkeit ein großes „i“)
- ad0be.com (Null anstelle des „o“)
Nach der Registrierung kann der Angreifer eine Website einrichten und den Traffic über Cloudflare-Server leiten, wobei dessen ASN genutzt werden, um den echten Server zu verbergen und die eigene Identität zu verschleiern.
Typosquatting: vom Betrug zum Angriff
Typosquatting kann sich zu ausgefeilteren Angriffen entwickeln, die den Diebstahl von Zugangsdaten oder betrügerische Gewinne beinhalten. Cyberkriminelle setzen diese Techniken ein, um gezieltes Phishing durchzuführen, Malware zu verbreiten oder Finanzinformationen zu manipulieren.
Typosquatting im Unternehmen: konkrete Fälle
Betrug gegenüber Mitarbeitern
Angreifer versuchen, Unternehmensmitarbeiter zu täuschen, indem sie das Vertrauen zwischen Kollegen und Lieferanten ausnutzen. Mit gefälschten E-Mail-Adressen und Domains, die den echten sehr ähnlich sind, können sie Mitarbeiter dazu bringen, schädliche Handlungen für das Unternehmen auszuführen.
- E-Mails von Kollegen: Ein Angreifer könnte eine E-Mail senden, die wie von einem internen Kollegen wirkt. Zum Beispiel könnte mario.rossi@inpresa.it leicht mit der echten Adresse mario.rossi@impresa.it verwechselt werden. Die Anfrage ist meist dringend und betrifft sensible Daten oder eine sofortige Zahlung. Der Mitarbeiter, im Vertrauen auf die vermeintliche Legitimität, führt die Anweisungen aus, ohne den kleinen Unterschied in der Domain zu bemerken.
- E-Mails von Lieferanten: Eine weitere gängige Technik ist das Senden von E-Mails von angeblichen Lieferanten. Die Adresse kann dem Original stark ähneln, z. B. @azienda.fornitrice.com statt @aziendafornitrice.com, wodurch Mitarbeiter auf Links zu gefälschten Seiten klicken oder Zahlungsinformationen preisgeben. Schon ein kleiner Tippfehler reicht aus, um auch erfahrene Mitarbeiter hereinzulegen.
- E-Mails zu Passwortänderung oder kompromittiertem Konto: Angreifer können gefälschte Sicherheits-E-Mails senden, die ein Passwort-Reset verlangen oder vor einem angeblich unbefugten Zugriff warnen. Die E-Mail enthält oft einen Link zu einer geklonten Website, die der echten Unternehmensseite oder einem legitimen Dienst ähnelt, wo der Nutzer seine Zugangsdaten eingibt. So erhalten Angreifer direkten Zugriff auf Unternehmens- oder Privatkonten.
Betrug gegenüber Kunden
Auch Kunden, die regelmäßig mit Unternehmensvertretern interagieren, können Opfer von Typosquatting werden, ohne es zu merken. Ein Angreifer kann sehr ähnliche Domains registrieren, um sie zur Preisgabe von Zugangsdaten oder zu betrügerischen Zahlungen zu bewegen.
- E-Mails von Ansprechpartnern: Ein Kunde könnte eine E-Mail von einem vertrauten Ansprechpartner erhalten, z. B. von mario.rossi@inpresa.it statt mario.rossi@impresa.it. Die Ähnlichkeit ist so hoch, dass der Kunde den Unterschied nicht bemerkt und auf Links zu gefälschten Portalen klickt, dort seine Zugangsdaten eingibt oder Zahlungen an betrügerische Konten vornimmt.
Betrug gegenüber internen Abteilungen
Interne Abteilungen wie die Buchhaltung sind häufig Ziel von Typosquatting-Angriffen. Angreifer können dabei geschäftliche Kommunikation fälschen, um Änderungen an kritischen Finanzdaten zu erwirken.
- E-Mails von Geschäftspartnern: Eine scheinbar von einem Partner gesendete E-Mail könnte eine gefälschte Adresse wie partner@pagamneti.it statt partner@pagamenti.it enthalten. Die Bitte um Aktualisierung der IBAN für eine dringende Zahlung könnte legitim wirken, und der Buchhaltungsmitarbeiter könnte die Überweisung tätigen, ohne zu merken, dass das Geld an ein Konto des Angreifers geht.
Business E-Mail Compromise (BEC): die nächste Angriffsphase
Die zweite Phase eines Typosquatting-Angriffs kann in ein Business E-Mail Compromise (BEC) übergehen – eine ausgefeilte Technik, bei der der Angreifer nach dem Erlangen von Zugangsdaten aktiv die Unternehmenskommunikation manipuliert.
Mit automatischen Weiterleitungsregeln in Diensten wie Outlook kann der Angreifer E-Mails unbemerkt abfangen. Dadurch lassen sich sensible Informationen wie Rechnungsdaten, Zahlungsaufforderungen oder IBAN-Änderungen manipulieren. Indem er legitime Nachrichten durch gefälschte Versionen ersetzt, erweitert der Angreifer den Schaden erheblich.
Schutz vor Typosquatting mit einem proaktiven SOC
Ein proaktives Security Operations Center (SOC), wie das von Cyberlys, spielt eine entscheidende Rolle bei der Erkennung und Abwehr von Typosquatting-Angriffen. Durch strukturierte Analyse- und Suchprozesse kann Cyberlys bösartige Domains identifizieren und blockieren, bevor sie dem Unternehmen schaden.
Implementierung von Policies und Blockierung
Sobald eine verdächtige Domain identifiziert ist, setzt Cyberlys Sicherheitsrichtlinien um, die den Traffic zu diesen Domains proaktiv blockieren. Eine besonders effektive Firewall-Regel blockiert automatisch Domains, die jünger als 60 Tage sind, da Daten zeigen, dass die meisten bösartigen Domains in den ersten Nutzungsmonaten aktiv sind.
Dieses Vorgehen birgt jedoch das Risiko, auch legitime Domains zu blockieren. Diese können nach einer Prüfung manuell freigegeben und auf eine Whitelist gesetzt werden.
Domain-Hunting
Das SOC von Cyberlys setzt auf fortschrittliche Tools, um verdächtige Domains kontinuierlich zu überwachen. Ein wesentlicher Bestandteil ist der Einsatz des von Cyberlys entwickelten Tools Domain Hunter, das Varianten legitimer Domains identifiziert, die für Typosquatting missbraucht werden könnten. Der Algorithmus generiert automatisch ähnliche Varianten des Unternehmensdomains und testet diese per Skript. Gibt es eine DNS-Antwort, führen die Analysten von Cyberlys eine tiefere Untersuchung durch.
Eine weitere Technik ist die Abfrage über WhoIS, eine Plattform, die detaillierte Informationen über die Domain liefert. Dazu gehören der Name des Registranten, das Registrierungsdatum oder ob die Domain durch Dienste wie Cloudflare geschützt ist, die den wahren Eigentümer verschleiern. Diese Daten sind entscheidend, um potenziell schädliche Domains zu erkennen.
Generierung von Domain-Varianten durch Algorithmen
Cyberlys verwendet hochentwickelte Suchalgorithmen, die Wörter und Buchstaben variieren, um Domain-Varianten zu generieren und so einen echten Typosquatting-Angriff zu simulieren. Ein optimierter Algorithmus sollte dabei mindestens die folgenden Untertechniken berücksichtigen und erzeugen: Bitsquatting, Omission, TLD-Swap, Insertion, Replacement, Subdomain e Vowel-Swap.
