Blog - Sparte Internet

Neue Pishing Gefahr

Eingetragen am 29.07.2008

Gerade lese ich auf t-online von einer neuen Pishing-Gefahr übelster Sorte!
Der Bericht: computer.t-online.de/c/15/68/92/96/15689296.html

Durch einen Angriff auf Nameserver merkt der Nutzer nicht, dass er auf einer gefährlichen oder kriminellen Seite geleitet wird.

Was ist ein Nameserver?
Gedankenlos geben wir vielleicht deinklick.de ein, oder folgen einem Link z.B. über Google. Nur, damit kann keine Verbindung zu einem Server hergestellt werden. Eine Verbindung wird über sog. IPs hergestellt, siehe de.wikipedia.org/wiki/IP-Adresse.
Die Aufgabe der Nameserver besteht nun darin, die Domainnamen einer bestimmten IP zuzuordnen. T-online.de wäre genau so gut über http://62.153.159.92 aufzurufen.
Weitere Infos: de.wikipedia.org/wiki/Domain_Name_System

Die Gefahr:
Würde es nun jemand schaffen, einen Nameserver derart zu vergewaltigen, dass bei Eingabe eines Domainnamens auf eine falsche IP geleitet wird und sich dort eine Kopie der Website der betreffenden Domain befindet, nicht auszudenken, welches Schindluder hier zu treiben wäre. Vor allem deshalb, da der Nutzer seiner Eingabe oder einem Link, z.B. von Google vertraut!
Von der Erspähung von Passwörtern, Bankdaten, Übernahme von Webseiten mit katastrophalen Konsequenzen für die Betreiber bis zur Verseuchung des eigenen Computers ist hier alles drin.

Entwarnung?
Da der Bug mittlerweile bekannt ist, haben große Provider offensichtlich reagiert. Zumindest t-online verspricht, dass ihre Nameserver abgesichert sind.
Bedenken bestehen meinerseits aber im Moment sehr wohl und ich empfehle bei wichtigen Seiten, wie z.B. Banken nicht die Url, sondern die IP der betreffenden Website einzugeben. Selbst bei Kunden renomierter Provider kann es manchmal zu Problemen mit der Namensauflösung kommen, hier spreche ich aus Erfahrung...

Die IP von einem Server erfahren:
Für den Normaluser stellt dies schon ein Problem dar, dazu habe ich ein Tool gebastelt, hier gebt Ihr einfach den Domainnamen ein und Ihr erhaltet die entsprechende IP.
ip.php

Tipp:
Dies funzt allerdings nur bei Domainnamen, die auf einem eigenen Server liegen. Bei deinklick.de erhaltet Ihr unter 82.165.68.164 eine Fehlermeldung. Dies liegt daran, dass sich die Domain den Server mit etlichen weiteren Domains den Platz teilt und hier die IP dieses jenen Servers angezeigt wird. Wer sich aber auskennt, erkennt, dass diese Seite bei 1&1 liegt.
In diesem Falle gebt Ihr die IP in einem weiteren Tool an und kontrolliert, ob die IP einem vertrauenswürdigen Server zugeordnet ist. Bei deinklick.de würden bei mir bei einem rumänischen Server alle Alarmglocken klingen ;-)
Den Server zu einer IP ermitteln: host.php

Bisherige Kommentare: Kommentar schreiben»