Was ist passiert?
Die sogenannte „Underminr“ Domain-Fronting-Attacke ermöglicht es Bedrohungsakteuren, Webanfragen zu manipulieren und vertrauenswürdige Websites als Tarnung für bösartige Aktivitäten zu missbrauchen. Angreifer nutzen dabei die Content Delivery Infrastructure (CDI) bekannter Websites, um ihre Malware oder Phishing-Kampagnen zu verschleiern und so die Erkennungssysteme zu umgehen.
Hintergrund & Bedeutung
Domain-Fronting ist eine Technik, bei der legitime Domainnamen in HTTP-Header-Feldern verwendet werden, während der tatsächliche Traffic zu böswilligen Servern geleitet wird. Dies ermöglicht es Angreifern, Firewalls und Sicherheitsfilter zu umgehen, da der Datenverkehr wie eine Verbindung zu einer vertrauenswürdigen Website aussieht. Die Underminr-Variante nutzt gezielt Content Delivery Networks, um die Glaubwürdigkeit etablierter Marken auszunutzen und so höhere Erfolgsquoten bei Benutzer-Kompromittierungen zu erzielen.
Empfehlungen für IT-Teams
Sofortmaßnahmen: Implementieren Sie erweiterte Traffic-Analysen, die nicht nur auf Domain-Namen, sondern auch auf tatsächliche Zielserver achten. Aktivieren Sie HTTPS-Inspektion mit SSL/TLS-Analyse in Ihrer Sicherheitsinfrastruktur. Schulen Sie Ihr SOC-Team auf Domain-Fronting-Indikatoren wie Mismatches zwischen Host-Header und Zielserver.
Langfristig: Setzen Sie on Zero-Trust-Architektur um und implementieren Sie kontinuierliche Endpoint-Detection-and-Response (EDR)-Lösungen. Überwachen Sie CDN-Traffic kritischer Anwendungen separat und nutzen Sie Threat-Intelligence-Feeds zur Identifikation bekannter Underminr-Infrastrukturen.
Fazit
Die Underminr-Attacke zeigt, wie Bedrohungsakteure Vertrauen als Waffe missbrauchen. Eine kombinierte Strategie aus technischen Kontrollen, Überwachung und Mitarbeiterschulung ist essentiell, um diese Bedrohung zu minimieren.
Quelle: Original Artikel