Warum Cyberkriminelle bei ihren Domains zu schlampig sind

Täglich werden tausende schädliche Domains registriert. Phishing-Kits, Botnetze, Ransomware-Kampagnen – alles nutzt diese digitalen Fluchtwege. Und hier kommt das hässliche Geheimnis, das in den meisten Cybersecurity-Diskussionen unter den Teppich gekehrt wird: Threat Actors sind oft erstaunlich faul, wenn es um ihre Domain-Strategien geht.

Du hast bestimmt schon von Domain Generation Algorithms (DGAs) gehört. Das sind automatisierte Systeme, die zufällig wirkende Domainnamen nach einem festen Zeitplan generieren. So kann Malware trotz Domain-Takedowns weiter mit ihren Command-and-Control-Servern kommunizieren. Die Theorie dahinter ist clever. Die Umsetzung? Naja, da hapert es oft gewaltig.

Was Base-5 uns verrät

Jetzt wird's richtig spannend. Als Sicherheitsforscher begannen, die numerischen Bestandteile dieser angeblich „zufälligen" Domains zu analysieren, stießen sie auf etwas Unerwartetes: Viele DGAs sind längst nicht so zufällig, wie sie vorgeben.

Der Trick? Base-5-Kodierung. Dieses Zahlensystem nutzt nur die Ziffern 0 bis 4. Wenn man die numerischen Anteile der Domains in Base-5 umwandelt, tauchen plötzlich Muster auf, die bei normaler Base-10-Analyse unsichtbar bleiben.

Warum Base-5? Viele DGA-Implementierungen nutzen Modulo-Operationen mit bestimmten Primzahlen. Übersetzt man diese Berechnungen in Base-5-Darstellung, werden die mathematischen Fingerabdrücke des ursprünglichen Algorithmus sichtbar. Es ist, als würde man herausfinden, dass ein angeblich zufälliges Kartenspiel tatsächlich mit markierten Karten funktioniert.

Was das für deine Sicherheitsinfrastruktur bedeutet

Hier wird aus einer akademischen Übung plötzlich konkrete Handlungsempfehlung. Wenn du eine DNS-Sicherheitslösung betreibst – und wenn nicht, wird es höchste Zeit – kannst du diese Erkenntnisse direkt nutzen:

1. Bessere Erkennungsrate

Herkömmliche Detection-Methoden suchen nach bekannten schlechten Domains. Base-5-Analyse hingegen erkennt die Struktur bösartiger Domain-Generierung. Du fängst Varianten ab, die noch nie zuvor gesehen wurden. Der Unterschied? Stell dir vor, du erkennst nicht nur ein bestimmtes Messer, sondern die Bewegung des Stechens selbst.

2. Weniger Fehlalarme

Wenn du die mathematischen Grenzen vieler DGAs verstehst, kannst du Regeln erstellen, die hochspezifisch auf Schadcode reagieren. Legitime Domains – auch kreative – folgen selten denselben numerischen Mustern. Das bedeutet: keine nächtlichen Alarme mehr, weil die Domain deines Partners versehentlich als verdächtig markiert wurde.

3. Goldgrube für Threat Intelligence

Wenn du ein Base-5-Muster identifizierst, findest du nicht nur eine schädliche Domain. Du deckst potenziell die gesamte Infrastruktur einer Kampagne auf. Verbindungen zwischen scheinbar unabhängigen Domains werden plötzlich sichtbar.

Das Katz-und-Maus-Spiel geht weiter

Natürlich sitzen Threat Actors nicht tatenlos herum. Einige haben bereits ausgefeiltere Randomisierungsstrategien implementiert. Aber bei Security geht es nicht darum, perfekt zu sein. Du musst den Angreifern nur das Leben schwer genug machen.

Jede zusätzliche Detection-Methode erhöht deren Aufwand. Jedes entdeckte Muster zwingt sie zu mehr Kreativität – und das kostet. Denn am Ende des Tages betreiben die meisten Angreifer ein Geschäft. Sie brauchen Return on Investment wie jeder andere auch.

Was das für deine eigene Domain-Strategie bedeutet

Während wir gerade bei Domains sind – ein Schritt zurück. Egal ob Startup, Side Project oder Enterprise-Infrastruktur: Domain-Muster verstehen wird immer wichtiger.

Hier ein paar praktische Tipps:

• Überwache deine bestehenden Domains: Richte Alerts für Lookalike-Domains ein. Ja, Menschen werden tatsächlich deine Marke klauen und darauf spekulieren.
• Denk über deine Zahlen nach: Enthält deine Domain Zahlen? Überlege, welche Muster diese verraten könnten. (Nein, das ist kein Aufruf zur Paranoia – nur zur Achtsamkeit.)
• DNS-Security ist kein Luxus mehr: Ob du die eingebauten Schutzfunktionen deines Registrars nutzt oder eine eigene Lösung baust – die DNS-Ebene ist deine erste Verteidigungslinie.

Das Fazit

Die schöne Ironie: Threat Actors, die sich oft als clevere Schattenkämpfer sehen, werden regelmäßig entlarvt, weil sie der Eleganz mathematischer Muster nicht widerstehen können. Ihre „zufälligen" Domains verraten zu viel. Ihre Algorithmen hinterlassen Spuren.

Für Verteidiger ist das großartig. Mit den richtigen Tools und dem richtigen Mindset kannst du Verbindungen finden, die Angreifer zu verstecken glauben. Du siehst die Kampagne hinter dem Chaos.

Also, das nächste Mal, wenn du auf einen Haufen scheinbar zufälliger Domainnamen stößt: Schau genauer hin. Die Zahlen erzählen dir vielleicht eine ganze Geschichte.

Bei NameOcean helfen wir dir, die gesamte Landschaft der Domain-Sicherheit zu verstehen. Ob du ein neues Projekt bei Vibe Hosting startest oder ein ganzes Domain-Portfolio verwaltest – wir sind an deiner Seite.