Go-Daddy-Angriff Manipulation an DNS-Einträgen bei einem großen Registrar

Webseiten, die bei Go Daddy gelagert sind, werden offenbar derzeit von Kriminellen angegriffen, die anschließend die DNS-Einträge manipulieren. Das Ziel der Angreifer ist die Verteilung sogenannter Ransomware mit Hilfe harmlos erscheinender URLs.

Gehackte Webseiten des Registrars Go Daddy infizierten ihre Besucher derzeit mit Ransomware, berichtet Sophos. Wie der Angriff genau stattfindet, weiß auch Sophos nicht. Dem Anti-Viren-Spezialisten ist eine Konzentration auf Go Daddy aufgefallen. Mehrere Webmaster wurden kontaktiert.

Die Angreifer manipulieren die DNS-Einträge der Webseiten und fügen ihre eigenen Webseiten hinzu. Damit findet keine direkte Infektion der Webseiten statt und Angreifer können unverdächtig wirkende Links verwenden. So nutzen sie etwa Subdomains wie move, music oder owner. Ob sie an gestohlene Zugangsdaten oder gar über eine Sicherheitslücke an die Go-Daddy-Einstellungen gelangen, ist nicht bekannt.

Auf den Webseiten findet sich in der Folge das Exploit Kit Cool EK, das versucht, verschiedene Sicherheitslücken, etwa durch Java, beim Besucher der Seite auszunutzen. Durch den Angriff wird sogenannte Ransomware auf den Rechnern der Opfer installiert. Diese ist länderspezifisch und gibt beispielsweise vor, im Auftrag des FBI oder der britischen Police Central e-crime Unit den Rechner gesperrt zu haben. Gegen einen Strafbetrag kann der Rechner dann entsperrt werden.