DNS-Spoofing

Ziel der Hacker und Angreifer ist meist ein Zugriff auf die Daten der Besucher. Im Mindesten besteht das Ziel darin, Nutzern die gefälschten Inhalte der Seite zu präsentieren. Da Internetseiten häufig primäre Informationsquelle zu bestimmten Themengebieten für Nutzer sind, ist der Manipulationsspielraum groß. Viele Nutzer informieren sich zu sensiblen Fragen vorrangig im Internet. Geht es etwa um Finanzen und Anlagestrategien, kann durch die Ausspielung gefälschter Inhalte hoher persönlicher Schaden entstehen.

Die große Reihe von Angriffs-Methoden unter der Bezeichnung DNS-Spoofing hat bestimmte gemeinsame Eigenschaften. In all diesen Angriffen geht es um die Ersetzung der Informationen, die auf DNS-Servern hinterlegt sind. Der Server-Cache wird unter Zuhilfenahme eines zusätzlichen (falschen) Records manipuliert. Für das DNS-Spoofing als letztliches Ziel eines Angriffs kommen mehrere Methoden und Szenarien in Frage.

Neben dem DNS-Cache-Poisoning sind auch IMSI-Catcher und Man-in-the-Middle-Attacken wichtige Bedrohungen. Ebenso können Sicherheitssysteme der DNS-Server kompromittiert werden. Das DNS-Spoofing kann sich als Attacke auch unmittelbar gegen die Internetnutzer richten. Hierbei können etwa Adressen von DNS-Servern im Router oder im Betriebssystem durch gefälschte ersetzt werden. Im Normalfall werden DNS-Server vom Internet-Provider vorgegeben. Ebenso besteht die Möglichkeit, den Router selbst individuell zu konfigurieren.

Daher ist es möglich, dass ein Hacker oder Angreifer Zugriff auf einen Registereintrag erlangt und diesen manipulieren kann. Der Internet-Service-Provider stuft den Cache als vertrauenswürdig ein. Bei einer gelingenden Attacke wird der Cache auch dann als vertrauenswürdig deklariert, wenn der Registereintrag manipuliert wurde.

In diesem Falle ist er mit einer nicht zugehörigen Webseite, meist eine Fake-Webseite, verknüpft. In einem solchen Falle des Cache-Poisonings erfolgt nicht die gewünschte Weiterleitung des Traffics an die reguläre IP-Adresse. Bei der Auflösung des Domain-Namens kommt es zur Weiterleitung an eine andere IP-Adresse, da diese Adresse ausgetauscht worden ist. Diese Form von Cache-Poisoning lässt sich nur unter höherem technischem Aufwand umsetzen als Spoofing-Attacken auf Heim-PCs- oder -Router.

Im Rahmen des DNS-Cache-Poisoning stellt die Ausbreitung ein besonderes Problem dar. Die Attacke breitet sich auf mehrere unterschiedliche DNS-Server aus. Im Zuge dessen können auch Heim-Systeme und Router betroffen sein. Dies betrifft dann ebenso den bereits existierenden Cache im DNS-System des Nutzers. Router erhalten die verbreitete manipulierte oder gefälschte Information. Der lokale Cache wird dabei um die gefälschte Information ergänzt oder durch diese ersetzt.

Kommt es zu einer DNS-Spoofing-Attacke, verschaffen sich Internet-Kriminelle zunächst Zugriff auf einen solchen Nameserver. Er greift die Konfiguration an beziehungsweise manipuliert diese. Auf diese Weise werden nicht nur die ursprünglichen und gewünschten Informationen der Internetseite geliefert, wenn sie aufgerufen wird. Die vom Nameserver ausgehenden Daten werden auf dem PC des Users gespeichert, weshalb sich der Rechner des Anwenders später noch an diese Daten erinnert und sie nutzt.

Ruft der User nun später eine andere Internetseite auf, kommen die durch das DNS-Spoofing gelieferten Daten ins Spiel. Diese bewirken, dass er auf einer anderen als der gewünschten Seite landet. Diese Fake-Seiten befinden sich unter dem Einfluss der Angreifer. Meistens sind sie so gestaltet, dass sie der gewünschten Seite auf den ersten Blick stark ähneln.

Besonders kritisch wird dies, wenn es sich um Seiten handelt, die mit sensiblen Daten arbeiten. Ein Beispiel wäre der Log-in im Online-Banking. Gibt ein Nutzer seine Daten ein, können Angreifer auf die Daten auf den manipulierten Seiten zugreifen und sie für ihre Zwecke nutzen. Aufgrund der hohen Ähnlichkeit der Fake-Internetseiten zu den Originalen geschieht dies ohne Mitwissen des Anwenders, da die Unterschiede nur schwer zu identifizieren sind.

Aufgrund gefälschter Seiten und der Möglichkeit, sensible Daten abzufangen, sind nicht nur Passwörter sondern beispielsweise auch Kreditkartendaten gefährdet. Auch die Seiten von IT-Security-Anbietern können betroffen sein. In diesem Falle sind zusätzliche Bedrohungen möglich, da keine erforderlichen Sicherheitsmaßnahmen mehr erfolgen. So wird der Einfall von Viren, Würmern und Trojanern erleichtert.