Subdomain Takeover: Verwaiste Domains einfach übernehmen

Subdomain Takeover wird in der IT-Security- und Hacker-Szene immer beliebter. Denn mit der einfachen Übernahme einer verwaisten Subdomain lassen sich schöne Angriffe durchführen oder Bug Bountys von Unternehmen einstreichen.

Artikel von Moritz Tremmel veröffentlicht am 24. Juli 2018, 12:05 Uhr

Subdomain Takeover bietet viele Angriffsmöglichkeiten. (Bild: Public Domain/Montage: Golem.de)

Verwaiste Subdomains und Domains findet man zu Tausenden im Netz. Sie zeigen auf nicht mehr aktive Dienste und geben bestenfalls eine Fehlermeldung aus. Nicht selten lassen sie sich mit ein paar Klicks und Tastaturanschlägen übernehmen. Betroffen sind immer wieder auch große Unternehmen und Konzerne wie Uber oder bekannte Persönlichkeiten wie der US-Präsident Donald Trump.

Wie funktioniert Subdomain Takeover?

Stellen wir uns den fiktiven Konzern E Corp vor. Dessen hiesiger Ableger möchte Ecoins, den Bitcoin-Konkurrenten des Konzerns, in einem Internetshop anbieten. E Corp entschließt sich, den Onlineshop nicht selbst zu betreiben, sondern greift hierzu auf die Dienste von Shopify zurück.

Damit der Shop auch unter der offiziellen Domain von E Corp erreichbar ist, erstellt die IT des Konzerns die Subdomain, die mittels eines CNAME-Eintrags im Domain Name System (DNS) auf die Shopify-Seite umleitet. E-Corp-Kunden, die shop.ecorp-germany.de aufrufen, werden so im Hintergrund unbemerkt auf den Shop bei Shopify geführt, der weiterhin wie eine "echte" E-Corp-Seite unter der offiziellen Domain im Browser angesurft wird.

Zwei Jahre lang bietet E Corp seine Produkte über den Shop an. Der erhoffte Erfolg von Ecoin bleibt jedoch aus. Deshalb schließt E Corp den Shop, vergisst dabei aber, auch den CNAME-Eintrag im DNS zu löschen.

Kurze Zeit später finden Hacker die verwaiste Subdomain. Mit nur wenigen Klicks erstellen sie einen Shopify-Account und hinterlegen die Subdomain shop.ecorp-germany.de im Shopify-Backend. Da der CNAME-Eintrag immer noch auf Shopify verweist, können die Hacker ihre Shopify-Seite unter der offiziellen Subdomain von E Corp betreiben.

Im besten Fall für E Corp melden sich die Hacker und erheischen einen Bug Bounty als Belohnung für die gefundene Sicherheitslücke. Im schlechtesten Fall spielen sie unter der echten Subdomain Schadsoftware aus oder nutzen sie als Ausgangspunkt für weitere Attacken gegen E Corp.

Lukrativ für Bug-Bounty-Jäger

Es passiert recht häufig, dass Unternehmen Cloud-Dienste kündigen, aber das Löschen der dazugehörigen DNS-Einträge vergessen. Denn anders als für Cloud-Dienste gehen für einen DNS-Eintrag keine monatlichen Rechnungen ein. Das Unternehmen wird also nicht daran erinnert, dass da noch etwas ist, das man löschen sollte. Ein vergessener DNS-Eintrag kann richtig teuer werden. Nicht nur Black Hats, sondern auch Bug-Bounty-Jäger reiben sich die Hände.

Viele der namhaften Bug-Bounty-Plattformen listen Subdomain Takeover bereits explizit als Bounty-Kategorie auf. Auf Github findet man etliche Tools, die das Scannen nach verwaisten Subdomains automatisieren oder beim Erstellen von Proof of Concepts (PoC) helfen, die man anschließend beim Bug-Bounty-Programm seiner Wahl oder dem betroffenen Unternehmen einreichen kann. Das ist durchaus lukrativ: Die Bountys liegen oft im vierstelligen Bereich.

Die recht hohen Beträge scheinen gerechtfertigt, wenn man einen Blick auf die Gefahren wirft. Eine Phishing-Kampagne unter der echten Domain eines Unternehmens dürfte der Traum eines jeden Phishers sein. Die Nutzer können schlicht nicht unterscheiden, ob sie es mit dem echten, legitimen Service zu tun haben oder nicht. Der mögliche Schaden ist also nicht nur für die Nutzer groß, sondern auch für die Reputation des betroffenen Unternehmens. Ähnlich unangenehm dürfte der Verkauf von Produkten unter der echten Domain sein, wenn diese nie geliefert werden.

Viele Cloud-Dienste sind betroffen

Subdomain Takeover ist nicht nur bei verwaisten Onlineshops möglich, sondern auch bei einer ganzen Reihe von Cloud-Providern. Diese erlauben es häufig, ihre Dienste mittels CNAME-Eintrag unter der eigenen, externen Domain zu betreiben. Löscht man den jeweiligen Dienst des Cloud-Providers und vergisst, wie im obigen Shopify-Beispiel, den CNAME-Eintrag zu löschen, kann die verwaiste Subdomain nach dem gleichen Prinzip übernommen werden.

Betroffen sind unter anderem der kommerzielle Ableger von Wordpress, wordpress.com, die Github-Projekt-Webseiten (Github Pages) unter github.io, die Kundensupport-Plattformen desk.com und zendesk.com, Microsoft-Azure-Webseiten und Cloud-Apps, Amazons Speicherdienst S3, die Content Delivery Networks fastly, Amazon Cloudfront und unzählige weitere. Die betroffenen Kunden folgen dem Trend, immer mehr Dienste zu externalisieren und dennoch unter der eigenen Subdomain zu betreiben.