Je nach Art des Fehlers können Angreifer dadurch E-Mails im Namen der betroffenen Behörde versenden oder empfangen, deren DNS-Einträge umkonfigurieren oder sicherheitsrelevante Berichte mitlesen.

„Tippfehler im DNS sind sehr gefährlich, weil die Organisation technisch gesehen gehackt wird, ohne dass jemand in ihre Systeme eindringt", sagte Shakhov. „Man hat bereits eine Domain mit einer über Jahre aufgebauten Reputation. Man trägt beliebige IPs ins DNS ein, startet einen Mailserver und verschickt E-Mails, indem man diese Reputation und das Vertrauen der Nutzer ausnutzt. Und solche Angriffe sind sehr schwer zu erkennen, weil die Angreifer nichts kaputt gemacht haben. Sie haben einfach eine Domain registriert, die im DNS stand und von der niemand wusste, dass es sie gibt."

DNS-Einträge legen fest, wo eine Website im IP-Raum liegt (A/AAAA), welche Domain hinterlegt ist (CNAME), wie E-Mail behandelt wird (MX, TXT) und wer über all das entscheidet (NS). Diese Angaben sind vollständig öffentlich und liegen im Klartext vor — ein einfacher Tippfehler genügt daher für erhebliche Folgen.

Zwei Beispiele sind Livingston County in Michigan und die Stadt Pikeville in Kentucky. Beide Verwaltungen nutzen offenbar Amazons Simple Email Service (SES) für ihren E-Mail-Verkehr und führen den Dienst in ihren TXT-Einträgen als vertrauenswürdigen Drittanbieter. Die dort eingetragenen Domains enthalten jedoch Tippfehler: „amzonses[.]com" und „amasonses[.]com". Dadurch erlauben beide Stellen einer Nicht-Amazon-Partei, E-Mails in ihrem Namen zu versenden.

Ein Blick in die SPF-Freigabelisten (Sender Policy Framework) zeigt den Umfang: Pikeville listet 75 IP-Adressen, Livingston County mehr als 32.000 verschiedene IP-Adressen, die alle zum Mailversand im Namen der offiziellen Domains berechtigt sind. Die offizielle Domain von Pikeville ist inzwischen auf der URI-Blacklist „URIBL" geführt; Shakhov hält es für plausibel, dass die Domain weiterhin für Missbrauch genutzt wird.

Im Fall von Livingston County wurde die per „include" eingebundene SPF-Liste seit 2021 alle drei bis acht Tage rotiert. Das deutet auf eine „Snowshoe"-Operation hin: Angreifer wechseln laufend die Versand-IPs, verschicken unerwünschte oder schädliche E-Mails und tauschen die IPs aus, sobald deren Reputation beschädigt ist.

Diese Beobachtungen belegen nicht, dass die E-Mail-Domain von Livingston County tatsächlich missbraucht wurde oder in welchem Ausmaß — sie belegen aber, dass es möglich gewesen wäre. Shakhov brachte den Akteur hinter dieser Kompromittierung mit einer bereits zuvor dokumentierten Gruppe in Verbindung. Diese hatte über abgelaufene CNAME-Einträge Websites großer Unternehmen wie Oracle und CNN Money, mehrerer Universitäten — der University of California in Los Angeles, Davis, San Diego und Santa Cruz — sowie der Regierung des Bundesstaats Connecticut missbraucht.

Grundsätzlich lässt sich nahezu jeder DNS-Eintrag missbrauchen, der einen Tippfehler enthält oder aus anderen Gründen auf eine falsche Domain verweist. Die Art des Missbrauchs hängt vom jeweiligen Eintrag ab. Sobald eine solche „dangling", also frei kaufbare Domain registriert ist, können Angreifer:

  • E-Mails abfangen, wenn der Fehler im MX-Eintrag liegt,
  • Spam-Inhalte ausliefern, wenn CNAME oder NS betroffen sind,
  • Phishing versenden, das von einem legitimen Absender zu stammen scheint (SPF),
  • über DMARC (Domain-based Message Authentication, Reporting, and Conformance) sicherheitsrelevante Informationen sammeln.

Die Website der City of Rupert in Idaho verweist derzeit auf die alte Domain der Nachbarstadt Heyburn, heyburnidaho[.]org. Diese Domain wurde von einem böswilligen Akteur gekauft, der die Nameserver-Einträge auf eine dubiose Glücksspielseite umbog. Zudem richtete er sich so ein, dass er E-Mails an und von Adressen mit der Endung @heyburnidaho.org senden und empfangen kann.

Weniger gravierend, aber ebenfalls riskant ist die Übernahme einer DMARC-Berichtsdomain. DMARC ist ein E-Mail-Sicherheitsprotokoll; der zugehörige Teil eines TXT-Eintrags legt fest, wohin ein Mailserver Berichte schickt. Diese Berichte können sensible Informationen über die E-Mail-Infrastruktur einer Organisation enthalten. Shakhov fand elf kommunale Einrichtungen, die von diesem Informationsabfluss bedroht sind, darunter vier County- und Strafverfolgungsbehörden aus Jennings County in Indiana.

„Angreifer scannen permanent DNS-Einträge nach Schwachstellen und vertippten Domains, weil das einer der einfachsten und billigsten Wege ist, in die Infrastruktur von jemandem zu gelangen", erklärte Shakhov. „Einträge auf der Root-Domain wie MX, NS, SPF, DMARC, CAA und so weiter kann jeder abfragen. Subdomains sind schwerer zu finden, aber Certificate-Transparency-Logs offenbaren die meisten davon. Angreifer scannen das DNS also einfach in großem Stil und holen sich, was sie wollen. Bei Behördendomains ist es sogar noch einfacher, weil es nur etwa 26.000 Domains zu scannen gibt und Angreifer das mehrmals täglich zu fast keinen Kosten tun können. CISA veröffentlicht sogar die vollständige Liste der .gov-Domains, sodass Angreifer sie nicht erst suchen müssen."

Shakhov verweist darauf, dass das DNS zwar seit bald einem halben Jahrhundert existiert, es in Organisationen aber „typischerweise niemanden gibt, der für die DNS-Verwaltung zuständig ist. Dadurch wird es mit der Zeit oft zu einem Friedhof abgelaufener Domains früherer Dienstleister, vergessener Unternehmensdomains nach Übernahmen und Fusionen oder schlicht von Tippfehlern, wenn jemand einen Eintrag von Hand getippt hat, statt ihn zu kopieren."

Als Mindestmaßnahmen nennt er mehrere Punkte. Erstens sollten Administratoren und IT-Teams aufhören, DNS-Einträge manuell einzutippen: Über Millionen in diesem Jahr gescannter Domains hinweg waren 47 Prozent der in SPF- und DMARC-Einträgen gefundenen, nicht registrierten Domains Tippfehler — entweder der eigenen Domain der Organisation oder der eines Anbieters.

Zweitens brauchen Organisationen eine Karte ihrer DNS-Infrastruktur und müssen wissen, woher jeder einzelne Eintrag stammt. Das ist nicht immer trivial: „An Universitäten ist es ziemlich üblich, dass Studierende ein Projekt auf GitHub stellen und das IT-Team bitten, einen CNAME hinzuzufügen, damit es unter der Universitätsdomain läuft", so Shakhov. „Der Studierende macht seinen Abschluss, aber der CNAME bleibt. Das GitHub-Konto wird aufgegeben und gelöscht, also hat jeder, der ein Konto mit demselben Namen anlegt, bereits einen CNAME im DNS der Universität liegen."

Drittens sollten Organisationen erwägen, falsch geschriebene Varianten der eigenen Domain selbst zu registrieren, damit Angreifer sie nicht später übernehmen können. Und schließlich: „Regelmäßige DNS-Audits sind ein Muss", sagte Shakhov. „In den meisten Fällen ist es nur ein einfaches Skript, das das eigene DNS nach ungültigen Domains oder Zielen durchsucht und sie markiert. Es war noch nie so schwierig, eine vierteljährliche DNS-Überprüfung durchzuführen, um sicherzustellen, dass alles aktuell ist."