Yahoo! Datenpanne-Vergleich: Ein tiefer Einblick in gefälschte Websites durch Domainnamenüberwachung

Der massive Datenverstoß bei Yahoo!, der von 2012 bis 2016 andauerte, ist mit 3 Milliarden kompromittierten Konten einer der bislangbedeutendsten Datenverstöße. Die Namen, Geburtstage, E-Mail-Adressen, Telefonnummern und sogar verschlüsselte und unverschlüsselte Sicherheitsfragen und -antworten der Nutzer waren nur einige der Informationen, die gestohlen und möglicherweise auf dem Schwarzmarkt verkauft wurden.

Die gute Nachricht ist, dass die Betroffenen nun Anspruch auf Entschädigung für die ihnen entstandenen Schäden und Verluste haben. Sie können eine zweijährige kostenlose Kreditüberwachung oder 100–25.000 US-Dollar in bar als Entschädigung für Diebstahl und potenziellen Betrug erhalten. Interessenten können prüfen, ob sie Anspruch auf eine Vergleichszahlung haben, indem sie sich an den Administrator der offiziellen Website zur Beilegung von Datenschutzverletzungen, yahoodatabreachsetlement.com, wenden.

Es scheint, als könnten diejenigen, die von der Yahoo!-Sicherheitsverletzung betroffen waren, nun beruhigt sein, nicht wahr? Wahrscheinlich nicht, da kurz nach der Bekanntgabe der Schadensregulierung neue Drohungen aufkamen. Ähnlich wie damals, als Equifax seine Einzelheiten zur Schadensregulierung bekannt gab und die Opfer darüber informierte, wo sie Ansprüche geltend machen können, tauchten mehrere gefälschte Websites auf, die die Vergleichswebsite von Yahoo! nachahmten. Wer nicht aufpasst, könnte am Ende noch mehr persönlich identifizierbare Informationen (PII) preisgeben, anstatt eine Entschädigung für das zu erhalten, was er bereits verloren hat.

Um diesen Punkt besser zu veranschaulichen, haben wir verschiedene unserer Domain-Intelligence-Tools eingesetzt, um zu untersuchen, wie das entstehende Bedrohungsumfeld rund um die Yahoo!-Siedlungsseite aussieht, und um Empfehlungen zur Minderung der daraus resultierenden Risiken zu geben.

Produkt #1: Domain Research Suite

Zunächst führten wir eine schnelle Suche nach neu registrierten Domains durch, die der offiziellen Yahoo!-Website ähnelten. Die Website wurde mit „yahoodatabreachsetlement“ als Schlüsselwort infiziert und mehrere potenziell schädliche Seiten mit den Endungen .com, .net, .info, .us und anderen Top-Level-Domains (TLD) gefunden.

Wir haben uns jedoch entschieden, uns auf diejenigen zu konzentrieren, die die TLD .com nutzen, da die offizielle Yahoo!-Website sie verwendet – was die Wahrscheinlichkeit erhöht, dass die 42 von uns identifizierten gefälschten Seiten zur Beilegung von Datenschutzverletzungen von potenziellen Klägern besucht werden.

Mithilfe der Domain Research Suite haben wir relevante Informationen zu jeder Domain zusammengestellt (Warnung: Wir empfehlen, keine dieser Domains zu besuchen oder zu teilen). Diese sind in der folgenden Tabelle aufgeführt:

Domain	Erstellungsdatum	Registrant/ Registrar	Land	E-Mail-Adresse	IP-Adresse
ahoodatabreachsettlement(.)com	31. August 2019	Super Privacy Service LTD c/o Dynadot	VEREINIGTE STAATEN	[email protected]	199.59.242.152
uahoodatabreachsettlement(.)com	31. August 2019	Super Privacy Service LTD c/o Dynadot	VEREINIGTE STAATEN	[email protected]	199.59.242.152
yagoodatabreachsettlement(.)com	31. August 2019	Super Privacy Service LTD c/o Dynadot	VEREINIGTE STAATEN	[email protected]	199.59.242.152
yahhoodatabreachsettlement(.)com	31. August 2019	Super Privacy Service LTD c/o Dynadot	VEREINIGTE STAATEN	[email protected]	199.59.242.152
yahooatabreachsettlement(.com)	31. August 2019	Super Privacy Service LTD c/o Dynadot	VEREINIGTE STAATEN	[email protected]	199.59.242.152
yahoodaabreachsettlement(.)com	31. August 2019	Super Privacy Service LTD c/o Dynadot	VEREINIGTE STAATEN	[email protected]	199.59.242.152
yahoodarabreachsettlement(.)com	31. August 2019	Super Privacy Service LTD c/o Dynadot	VEREINIGTE STAATEN	[email protected]	199.59.242.152
yahoodatabrachsettlement(.)com	31. August 2019	Super Privacy Service LTD c/o Dynadot	VEREINIGTE STAATEN	[email protected]	199.59.242.152
yahoodatabreachettlement(.)com	31. August 2019	Super Privacy Service LTD c/o Dynadot	VEREINIGTE STAATEN	[email protected]	199.59.242.152
yahoodatabreachsettkement(.)com	31. August 2019	Super Privacy Service LTD c/o Dynadot	VEREINIGTE STAATEN	[email protected]	199.59.242.152
yahoodatabreachsettleent(.)com	31. August 2019	Super Privacy Service LTD c/o Dynadot	VEREINIGTE STAATEN	[email protected]	199.59.242.152
yahoodatabreachsettlememt(.)com	31. August 2019	Super Privacy Service LTD c/o Dynadot	VEREINIGTE STAATEN	[email protected]	199.59.242.152
yahoodatabreachsettlemen(.)com	31. August 2019	Super Privacy Service LTD c/o Dynadot	VEREINIGTE STAATEN	[email protected]	199.59.242.152
yahoodatabreachsettlemet(.)com	31. August 2019	Super Privacy Service LTD c/o Dynadot	VEREINIGTE STAATEN	[email protected]	199.59.242.152
yahoodatabreachsettlemnt(.)com	31. August 2019	Super Privacy Service LTD c/o Dynadot	VEREINIGTE STAATEN	[email protected]	199.59.242.152
yahoodatabreachsettlemrnt(.)com	31. August 2019	Super Privacy Service LTD c/o Dynadot	VEREINIGTE STAATEN	[email protected]	199.59.242.152
yahoodatabreachsettlemwnt(.)com	31. August 2019	Super Privacy Service LTD c/o Dynadot	VEREINIGTE STAATEN	[email protected]	199.59.242.152
yahoodatabreachsettlenent(.)com	September 1, 2019	Unvollständige Daten			199.59.242.152
yahoodatabreachsettlrment(.)com	31. August 2019	Super Privacy Service LTD c/o Dynadot	VEREINIGTE STAATEN	[email protected]	199.59.242.152
yahoodatabreachsetttlement(.)com	31. August 2019	Super Privacy Service LTD c/o Dynadot	VEREINIGTE STAATEN	[email protected]	199.59.242.152
yahoodatabreachsttlement(.)com	31. August 2019	Super Privacy Service LTD c/o Dynadot	VEREINIGTE STAATEN	[email protected]	199.59.242.152
yahoodatabreacsettlement(.)com	31. August 2019	Super Privacy Service LTD c/o Dynadot	VEREINIGTE STAATEN	[email protected]	199.59.242.152
yahoodatabreahsettlement(.)com	31. August 2019	Super Privacy Service LTD c/o Dynadot	VEREINIGTE STAATEN	[email protected]	199.59.242.152
yahoodatabreavhsettlement(.)com	31. August 2019	Super Privacy Service LTD c/o Dynadot	VEREINIGTE STAATEN	[email protected]	199.59.242.152
yahoodatabreaxhsettlement(.)com	31. August 2019	Super Privacy Service LTD c/o Dynadot	VEREINIGTE STAATEN	[email protected]	199.59.242.152
yahoodatabreschsettlement(.)com	September 26, 2019	Unvollständige Daten			199.59.242.152
yahoodatabteachsettlement(.)com	31. August 2019	Super Privacy Service LTD c/o Dynadot	VEREINIGTE STAATEN	[email protected]	199.59.242.152
yahoodatareachsettlement(.)com	31. August 2019	Super Privacy Service LTD c/o Dynadot	VEREINIGTE STAATEN	[email protected]	199.59.242.152
yahoodatebreachsettlement(.)com	31. August 2019	Super Privacy Service LTD c/o Dynadot	VEREINIGTE STAATEN	[email protected]	199.59.242.152
yahoodtabreachsettlement(.)com	31. August 2019	Super Privacy Service LTD c/o Dynadot	VEREINIGTE STAATEN	[email protected]	199.59.242.152
theyahoodatabreachsettlement(.)com	September 1, 2019	XINNET TECHNOLOGY CORPORATION		[email protected]	199.59.242.152
yahoodatabreachsettle(.)com	September 1, 2019	XINNET TECHNOLOGY CORPORATION		[email protected]	199.59.242.152
yahoodatabreachsettlements(.)com	September 1, 2019	XINNET TECHNOLOGY CORPORATION		[email protected]	199.59.242.152
yahoodatabreech(.)com	September 1, 2019	XINNET TECHNOLOGY CORPORATION		[email protected]	199.59.242.152
yahoodatabeeachsettlement(.)com	September 5, 2019	Chengdu West Dimension Digital Technology Co., Ltd.	CHINA		103.224.182.242
yahoodataberachsettlement(.)com	September 5, 2019	Chengdu West Dimension Digital Technology Co., Ltd.	CHINA		103.224.182.242
yahoodatabraechsettlement(.)com	September 5, 2019	Chengdu West Dimension Digital Technology Co., Ltd.	CHINA		103.224.182.242
yhaoodatabreachsettlement(.)com	September 5, 2019	Chengdu West Dimension Digital Technology Co., Ltd.	CHINA		103.224.182.242
yshoodatabreachsettlement(.)com	September 5, 2019	Chengdu West Dimension Digital Technology Co., Ltd.	CHINA		103.224.182.242
yahoobreachdatasettlement(.)com	September 9, 2019	Domains By Proxy, LLC	VEREINIGTE STAATEN	[email protected]	45.33.2.79 96.126.123.244 45.33.23.183 198.58.118.167 45.79.19.196 45.56.79.23
yahoodatabreachaettlement(.)com	September 11, 2019	Domains By Proxy, LLC	VEREINIGTE STAATEN	[email protected]	200.63.47.3
yahoodatabreaachsettlement(.)com	September 23, 2019	Privacy Protect, LLC (PrivacyProtect.org)	VEREINIGTE STAATEN	[email protected]	45.33.2.79 198.58.118.167 96.126.123.244 45.79.19.196 45.56.79.23 45.33.23.183

Beachten Sie, dass es sich bei allen Domains nur um leicht falsch geschriebene Varianten der echten Domain handelt – ein verräterisches Zeichen dafür, dass es sich um böswillige oder zumindest illegitime Links handelt. Schließlich ist es keine Seltenheit, Phishing-Opfer über falsch eingegebene URLs zu erreichen. In diesem Fall könnten Phisher Domains registriert haben, die Yahoo! sehr ähnlich sind. Website zur Beilegung von Datenschutzverletzungen, um Benutzer in die Falle zu locken, die möglicherweise Ansprüche geltend machen möchten. Auf diese Weise könnten die Phisher stattdessen an die Yahoo!-Zugangsdaten des Antragstellers gelangen und die Gebühren einstreichen.

Im Folgenden finden Sie eine Zusammenfassung unserer Beobachtungen:

• Rund 79 % der Domains wurden zwischen dem 31. August und dem 1. September 2019 registriert – drei bis vier Tage vor der offiziellen Ankündigung am 4. September. Die restlichen 21 % wurden nach der Ankündigung zwischen dem 5. und 26. September 2019 registriert. Die folgende Grafik zeigt die Anzahl der Domainregistrierungen nach Erstellungsdatum:
  • 29 der Domains wurden am 31. August 2019 registriert
  • Je 5 wurden am 1. und 5. September 2019 erstellt
  • Jeweils eine wurde am 11., 23. und 26. September 2019 registriert
• Basierend auf den registrierten Registranten oder Registraren für Domains, die anonym oder privat registriert wurden:
  • 27 über Super Privacy Service LTD c/o Dynadot
  • Fünf waren unter Chengdu West Dimension Digital Technology Co., Ltd.
  • Vier waren unter Xinnet Technology Corporation
  • Zwei waren unter Domains By Proxy, LLC
  • Zwei hatten unvollständige Daten
  • Eine war unter Privacy Protect, LLC (PrivacyProtect.org)
• Basierend auf dem Land der Registrierung:
  • 31 wurden in den U.S.A. gehostet.
  • 6 befanden sich in China
  • 6 haben ihren Standort nicht angegeben
• Während die Mehrheit der Domains über entsprechende E-Mail-Adressen verfügte (d. h. mit ihren Domainnamen übereinstimmte), verwendeten einige die Adressen ihrer Registrare, nämlich:
  • [email protected] für diejenigen, die der Xinnet Technology Corporation gehören
  • [email protected] für die Website von Privacy Protect, LLC (PrivacyProtect.org)
• Basierend auf der IP-Adresse:
  • 33 teilten sich die IP-Adresse 199.59.242.152 (alle Domains wurden von Super Privacy Service LTD c/o Dynadot und Xinnet Technology Corporation registriert, einschließlich der 2 Domains mit unvollständigen Daten).
  • 5 teilten sich die IP-Adresse 103.224.182.242 (alle Domains sind von Chengdu West Dimension Digital Technology Co., Ltd. registriert).
  • 2 gemeinsam genutzte IP-Adressen, darunter 45.33.2.79, 96.126.123.244, 45.33.23.183, 198.58.118.167, 45.79.19.196 und 45.56.79.23 (alle Domains registriert durch Domains By Proxy, LLC)
  • 1 verwendete die IP-Adresse 200.63.47.3 (registriert von Privacy Protect, LLC [PrivacyProtect.org]).

Was die Ergebnisse verraten

Dieses Verhältnis des Domainregistrierungsvolumens (das vor der offiziellen Ankündigung seinen Höhepunkt erreichte und danach abnahm) ist nicht überraschend. Schließlich möchten Phisher ihre gefälschten Seiten bereithalten, wenn potenzielle Kläger auf der Suche nach weiteren Informationen zum Einreichen von Schadensersatz sind und als Erster in der Schlange stehen.

Die Diskrepanz zwischen der Anzahl der Domains (42) und der Registranten (6) sowie die Tatsache, dass sie ungefähr zum gleichen Zeitpunkt registriert wurden, deutet auf eine Massenregistrierung hin.

Obwohl in ihren WHOIS-Einträgen Informationen weggelassen wurden, wurden yahoodatabreschsettlement(.)com und yahoodatabreschsettlement(.)com höchstwahrscheinlich ebenfalls über Super Privacy Service LTD c/o Dynadot registriert, da ihre Erstellung auf dieselbe IP-Adresse – 199.59.242.152 – zurückgeführt werden konnte wie alle anderen Domains des Registranten.

Es ist auch erwähnenswert, dass Super Privacy Service LTD c/o Dynadot und Xinnet Technology Corporation dieselbe IP-Adresse hatten. Selbst wenn die von der Xinnet Technology Corporation registrierten Domains nicht angeben würden, wo sie gehostet werden, kann man mit Sicherheit davon ausgehen, dass sie sich im selben Land befinden – den USA.

Zusätzliche Forschung und Untersuchung

Wir haben unsere ersten Ergebnisse zur Domainregistrierung mit anderen WHOIS-Rechercheergebnissen abgeglichen und folgende weitere gefälschte Websites identifiziert:

• wwwyahoodatabreachsettlement(.)com
• yahoodatabreach(.)com
• yahoodatabreachlawsuit(.)com
• yahoodatabreachsetlement(.)com
• yahoodatabreachsettelment(.)com
• yahoodatabreachsettement(.)com
• yahoodatabreachsettlement(.)com
• yahoodatabreachsettlment(.)com
• yahoodatabreachssettlement(.)com

Stichprobenartige Überprüfungen des Registrierungsdatums jeder Website ergaben, dass diese bereits vor dem 31. August 2019 registriert wurden. Es ist möglich, dass einige davon nicht mehr existieren.

Eine bestimmte Website – yahoodatabreach(.)com – erwies sich als interessant, da sie ursprünglich am 8. März 2017 erstellt wurde, zwei Jahre bevor eine Entscheidung über die Bedingungen des Vergleichs im Yahoo!-Datenschutzskandal getroffen wurde. Die Registrierung dieser Website wurde am 3. Februar 2019 erneuert, sie wurde jedoch kurz darauf gelöscht.

Einige der Domains wurden bereits vor einigen Jahren registriert. Cyberkriminelle haben möglicherweise damit gerechnet, dass betroffene Nutzer nach Informationen über den Angriff suchen würden, und hofften, dass sie auf ihren gefälschten Websites landen würden.

Produkt #2: Reverse IP API

Nachdem wir die wiederkehrenden IP-Adressen identifiziert hatten, die bei unseren Reverse-WHOIS-Suchen aufgetaucht waren, haben wir uns die auffälligste davon genauer angesehen – 199.59.242.152 – mithilfe der Reverse IP API. Diese IP-Adresse ist schätzungsweise 3.235 Tage alt (mehr als 8 Jahre). Wir haben die Organisation ausfindig gemacht, der sie gehört, und es stellte sich heraus, dass es sich um ein Unternehmen handelt, das eine Domain-Parking-Plattform betreibt.

Obwohl das Parken von Domains nicht illegal ist, kaufen Cyberkriminelle häufig geparkte Domains, um ihre bösartigen Websites zu hosten. Das hätte hier durchaus der Fall sein können. Diejenigen, die hinter dem gefälschten Yahoo!-Websites zur Beilegung von Datenschutzverletzungen hätten die von uns entdeckten .com-Domains in großen Mengen kaufen können, um Kosten zu sparen, was das gleiche Registrierungsdatum erklärt.

In den meisten Fällen der Cybersicherheit wird die Angriffsprävention durch die Blockierung bestimmter IP-Adressen auf der Netzwerkseite erreicht. Dieser Ansatz verhindert, dass Benutzer versehentlich potenziell schädliche Websites besuchen oder dass böswillige Personen Zugriff auf Systeme und Daten erhalten, die in dem genannten Netzwerk gespeichert sind. Daher kann es für Organisationen eine gute Idee sein, die IP-Adressen zu blockieren, die mit den in diesem Beitrag erwähnten gefälschten Websites verknüpft sind.

Produkt #3: Domain Reputation API

Um die bösartige Natur dieser Online-Domains, die die Vergleichsseite von Yahoo! imitieren, besser aufzuzeigen, haben wir die Domain Reputation API verwendet, um zwei der gefälschten Domains zu analysieren und ihnen eine Punktzahl zwischen 0 und 100 zuzuweisen. Beachten Sie, dass der Idealwert 0 ist, was bedeutet, dass die Website sicher ist.

• Yahoodatabeeachsetlement(.)com hatte einen Reputationswert von 66,67. Die API warnte vor ihrer Neuheit sowie vor der erst kürzlich erfolgten Ausstellung von SSL-Zertifikaten und den Schwachstellen.
• Yahoobreachdatasettlement(.)com hatte einen Reputationswert von 77,41. Es wurden auch Warnungen hinsichtlich seines jungen Alters und SSL-Sicherheitslücken angeführt.

Schlussfolgerung und bewährte Praktiken

Aufgrund unserer eingehenden IP- und WHOIS-Recherchen scheinen die meisten potenziell bösartigen Domains lediglich geparkt zu sein. Dennoch könnten einige Cyberangriffe noch in Vorbereitung sein.

Unabhängig von der Motivation bleibt eines klar: Die Registrierung einer großen Anzahl von Domains ist eine Möglichkeit, mit der Typosquatter oder Cybersquatter Geld verdienen.

Die Eigentümer der gefälschten Domains könnten darauf warten, dass andere Kriminelle sie erwerben, um sie für Phishing-Angriffe zu nutzen. Schließlich ist es relativ einfach, eine Website einzurichten, die die Yahoo!-Anmeldedaten von Antragstellern erfasst.

Antragsteller können sich vor Phishing-Angriffen schützen, indem sie diese bewährten Methoden befolgen:

• Bitte überprüfen Sie, ob der Link, auf den sie zugreifen möchten, tatsächlich die offizielle Website von Yahoo! zur Beilegung des Datenmissbrauchs ist. Weitere Informationen finden sie auf der offiziellen Website von Yahoo!.
• Sollten sie eine E-Mail von jemandem erhalten, der vorgibt, von Yahoo! zu stammen, können sie zunächst die Geschäftsstelle des Unternehmens anrufen, um die Kommunikation zu überprüfen. Wenn die E-Mail-Adresse des Absenders in der Tabelle oben erscheint, handelt es sich wahrscheinlich um eine Phishing-E-Mail, die sofort gelöscht werden muss.
• Bitte überprüfen Sie die E-Mail-Adresse des Absenders, den Inhalt der Nachricht und die Betreffzeile auf Tippfehler und grammatikalische Fehler. Diese sind häufig in Phishing-E-Mails zu finden.
• Bitte vermeiden Sie es, auf Links in E-Mails zu klicken und Anhänge von unbekannten Absendern herunterzuladen. Diese Aktion kann dazu führen, dass Benutzer unwissentlich auf schädliche Websites gelangen.
• Bitte verwenden Sie eine Sicherheitslösung, die Spam und Malware blockiert und den Zugriff auf bekannte schädliche Websites verhindert.

Auf der anderen Seite können Yahoo! und Organisationen, die Antragsteller und andere besser vor Phishing, Typosquatting und Website-Spoofing schützen möchten, auf die vielfältigen Tools derDomain Research Suite zurückgreifen:

• Mit Brand Monitor können Nutzer potenzielle Markenrechtsverletzer und andere Markenmissbraucher erkennen. Mithilfe der Tippfehlerfunktion können Nutzer automatisch eine Liste mit falsch geschriebenen Varianten ihrer Domain erstellen, um diese weiter zu untersuchen.
• Mitdem Registrant Monitor können Benutzer Registranten überwachen, die in der Vergangenheit Fehlverhalten begangen haben.
• Domain Monitor hingegen unterstützt Benutzer dabei, Domains mit einer problematischen Vergangenheit zu überwachen, sodass diese bei einer erneuten Verwendung für Angriffe umgehend deaktiviert werden können.
• Mit der Reverse WHOIS Search können Benutzer detaillierte WHOIS-Informationen zu einem bestimmten „Suchbegriff“ für eine Domain aus den WHOIS-Einträgen abrufen – Namen, Telefonnummern, E-Mail-Adressen usw.
• Mit der WHOIS History Search können Sie tiefer in die Geschichte einer Domain eintauchen, um alle früheren Eigentümer sowie andere Änderungen im Laufe der Jahre zu überprüfen.

Wir hoffen, dass Sie diese Untersuchung zum Cybersquatting auf der Vergleichswebsite von Yahoo! hilfreich fanden. Für weitere Informationen zur Domain Research Suite können Sie sich gerne an uns wenden oder sich registrieren und die Suite ausprobieren.