Phishing-Angriffe nutzen .arpa-Domains für versteckte Schadinhalte

Cyberkriminelle nutzen die eigentlich nur für technische DNS-Zwecke vorgesehene Top-Level-Domain .arpa zunehmend, um Sicherheitsmechanismen zu umgehen. Das zeigt Infoblox in einem aktuellen Bericht auf. Konkret manipulieren sie demnach Reverse-DNS-Einträge, um so schädliche Inhalte bereitzustellen und Phishing-Kampagnen zu verschleiern.

Reverse-DNS-Einträge (PTR-Records) dienen normalerweise der technischen Verifikation, etwa bei E-Mail-Servern oder für Netzwerk-Analysen, indem sie IP-Adressen in .arpa-Domainnamen auflösen. Wie Infoblox beschreibt, missbrauchen Angreifer diese Infrastruktur jedoch, um .arpa-Domains zu erzeugen, die von vielen Sicherheitslösungen nicht überwacht bzw. nicht konsequent geprüft werden. Entsprechende cyberkriminelle Aktivitäten blieben deshalb häufig unentdeckt.

Infoblox empfiehlt Unternehmen daher, ihr DNS-Monitoring auszuweiten und insbesondere Reverse-DNS-Anfragen stärker zu analysieren. Zudem sollten sie ihre Sicherheitsrichtlinien so anpassen, dass auch ungewöhnliche .arpa-Domains aktiv geprüft und bei Bedarf blockiert werden.