Sicherheitsforscher haben eine neue Phishingtechnik entdeckt, die übersehene Teile der Internetinfrastruktur ausnutzt. Der sogenannte .arpa-Phishingangriff missbraucht Reverse-DNS-Einträge und IPv6-Adressierung, um herkömmliche Phishing-Erkennungssysteme zu umgehen. Durch die Manipulation von Infrastrukturdomainen, die normalerweise für Netzwerkoperationen genutzt werden, können Angreifer bösartige Links in E-Mails verstecken und gängige Sicherheitsfilter umgehen.
Die Methode basiert nicht auf Malware oder Software-Schwachstellen. Stattdessen missbrauchen Angreifer legitime Internetprotokolle, die von vielen Sicherheitswerkzeugen selten überprüft werden. Forscher warnen, dass dieser Ansatz Phishingkampagnen ermöglicht, Systeme zur Bewertung der Domain-Reputation zu umgehen und potenzielle Opfer leichter zu erreichen.
Reverse-DNS-Infrastruktur wird zum Angriffswerkzeug
Der Angriff konzentriert sich auf die Domain .arpa, die eine besondere Rolle im Domain Name System des Internets spielt. Diese Domain unterstützt Reverse-DNS-Abfragen, bei denen IP-Adressen in Hostnamen übersetzt werden, die in der Netzwerkinfrastruktur verwendet werden.
Zwei zentrale Domains unterstützen diese Funktion:
- in-addr.arpa, zuständig für Reverse-DNS-Abfragen bei IPv4-Adressen
- ip6.arpa, zuständig für dieselbe Funktion bei IPv6-Adressen
Diese Domains waren nie dafür vorgesehen, normale Webseiten oder Phishinginhalte zu hosten. Angreifer haben jedoch entdeckt, dass sich Reverse-DNS-Einträge auf eine Weise manipulieren lassen, die viele Sicherheitswerkzeuge übersehen.
Durch den Missbrauch dieser Infrastrukturdomainen können Bedrohungsakteure schädliche Links so tarnen, dass sie für einige Filtersysteme legitim erscheinen.
Funktionsweise des Angriffs
Forscher beobachteten Phishingkampagnen, bei denen Links auf Adressen verweisen, die Reverse-DNS-Strukturen ähneln, anstatt auf herkömmliche Domainnamen. Diese Links erscheinen in Phishing-E-Mails, die sich als Nachrichten vertrauenswürdiger Organisationen ausgeben.
Wenn ein Opfer auf den Link klickt, führt das System eine Reverse-DNS-Abfrage aus und verbindet sich mit dem Server des Angreifers. Der Server leitet den Nutzer anschließend auf eine Phishingseite weiter, die darauf abzielt, Anmeldedaten oder andere sensible Informationen zu stehlen.
Da der Link eine infrastrukturbasierte Adressierung statt eines klassischen Domainnamens verwendet, erkennen einige Sicherheitswerkzeuge ihn nicht als verdächtig.
Angreifer verstecken diese Links häufig zusätzlich in Bildern oder eingebetteten Elementen innerhalb der E-Mail, um die Erkennung weiter zu erschweren.
IPv6-Infrastruktur hilft beim Verbergen bösartiger Server
Der .arpa-Phishingangriff arbeitet häufig zusammen mit IPv6-Infrastruktur. Angreifer können Phishingserver mit IPv6-Adressen betreiben, die in traditionellen Überwachungssystemen seltener analysiert werden.
Einige Kampagnen nutzen außerdem IPv6-Tunneldienste. Diese Dienste ermöglichen es Angreifern, Phishingseiten zu hosten und gleichzeitig den tatsächlichen Standort ihrer Infrastruktur zu verschleiern.
Da viele Sicherheitswerkzeuge sich hauptsächlich auf IPv4-Datenverkehr und Domain-Reputationsanalysen konzentrieren, kann dieser IPv6-basierte Ansatz zusätzliche blinde Flecken für Verteidiger schaffen.
Die Kombination aus Reverse-DNS-Missbrauch und IPv6-Infrastruktur macht diese Technik besonders effektiv beim Umgehen automatisierter Filtersysteme.
Sicherheitsfilter ignorieren oft Infrastrukturdomainen
Viele E-Mail-Sicherheitslösungen verlassen sich stark auf Domain-Reputationsprüfungen. Diese Systeme analysieren unter anderem das Registrierungsalter einer Domain, ihre historische Aktivität und bekannte Verbindungen zu schädlichen Aktivitäten.
Infrastrukturdomainen wie .arpa erscheinen selten in Phishing-Datenbanken, da sie technische Netzwerkfunktionen erfüllen und nicht für öffentliche Webseiten genutzt werden.
Daher behandeln einige Filtersysteme diese Domains als vertrauenswürdig oder ignorieren sie während der Bedrohungsanalyse vollständig. Angreifer nutzen diese Annahme aus, um Phishinglinks an automatisierten Sicherheitsmechanismen vorbeizuschleusen.
Sicherheitsforscher warnen, dass diese blinde Stelle Phishingkampagnen eine breite Verbreitung ermöglichen könnte, wenn Organisationen ihre Erkennungsstrategien nicht anpassen.
Fazit
Der .arpa-Phishingangriff zeigt, wie Cyberkriminelle weiterhin übersehene Bereiche der Internetinfrastruktur ausnutzen. Durch den Missbrauch von Reverse-DNS-Domainen und IPv6-Adressen können Angreifer gängige Phishingabwehrsysteme umgehen, ohne Software-Schwachstellen auszunutzen.
Die Technik verdeutlicht, dass Phishingkampagnen nicht mehr ausschließlich auf verdächtige Domains oder neu registrierte Webseiten angewiesen sind. Stattdessen manipulieren Angreifer zunehmend legitime Netzwerkprotokolle, um der Entdeckung zu entgehen.
Organisationen sollten ihre Überwachungsstrategien daher erweitern und auch Reverse-DNS-Aktivitäten sowie ungewöhnliche IPv6-Verkehrsmuster berücksichtigen. Eine bessere Sichtbarkeit auf Infrastrukturebene kann Sicherheitsteams helfen, solche Angriffe zu erkennen, bevor sie potenzielle Opfer erreichen.
0 Kommentare zu „.arpa-Phishingangriff nutzt IPv6, um E-Mail-Sicherheit zu umgehen“