ICANN-Studie: Über die Hälfte gemeldeter Missbrauchsdomains hat verknüpfte Domains
in einfachen worten
Technisches Personal von ICANN Internet Corporation for Assigned Names and Numbers Die gemeinnützige Organisation, die das weltweite DNS und die gTLD-Policy koordiniert. Vollständige Definition von ICANN untersuchte Domainname Ein lesbarer Name im Internet aus Labels, die durch Punkte getrennt sind. Vollständige Definition von Domainname, die wegen Betrug, Phishing Das Vortäuschen einer vertrauenswürdigen Identität, um Daten zu stehlen, oft mit ähnlich aussehenden Domains. Vollständige Definition von Phishing oder Malware Schädliche Software, die oft über Domainnamen verbreitet oder gesteuert wird. Vollständige Definition von Malware gemeldet wurden, und prüfte dabei öffentliche Hinweise wie Registrar Ein Unternehmen, das Domainnamen im Auftrag von Kunden bei der Registry registriert. Vollständige Definition von Registrar, genutzte Server und Zeitpunkt der Registrierung Der Erwerb des Rechts, einen Domainnamen für einen festgelegten Zeitraum zu nutzen. Vollständige Definition von Registrierung. Mehr als die Hälfte der bösartigen Domainnamen war mit anderen Domainnamen verknüpft, die etwa zur gleichen Zeit registriert wurden. Die Methode fand diese Verbindungen jedoch meist erst, nachdem Sperrliste Eine veröffentlichte Liste von Domains oder IP-Adressen, die wegen Spam, Phishing oder Malware blockiert werden sollen. Vollständige Definition von Sperrliste sie bereits erfasst hatten, nicht vorher, vor allem weil Registry-Daten oft zu langsam ankamen.
Das Office of the Chief Technology Officer von ICANN veröffentlichte am 6. Oktober einen auf den 18. September datierten Bericht von vier Mitarbeitern, der untersucht, ob als bösartig gemeldete Domainnamen mit anderen Domainnamen verbunden sind. Die Arbeit fließt in ein laufendes GNSO-Richtlinienvorhaben zur Bekämpfung von DNS-Missbrauch Schädliche Nutzung von Domains, in den Verträgen der ICANN als fünf bestimmte Bedrohungen definiert. Vollständige Definition von DNS-Missbrauch ein, dessen Arbeitsgruppe Team von Freiwilligen, das mit einem Mandat eine Policy-Frage untersucht und Empfehlungen ausspricht. Vollständige Definition von Arbeitsgruppe vorgeschlagen hat, dass Registrare nach Bestätigung eines Missbrauchsfalls mithilfe von Kunden- und Kontodaten nach verwandten Domainnamen suchen. Der ICANN-Bericht stützte sich dagegen ausschließlich auf öffentliche technische Signale: Registrar, Nameserver Ein Server, der die DNS-Records einer Domain vorhält und Abfragen beantwortet. Vollständige Definition von Nameserver, Zeitpunkt der Registrierung und IP-Adressen, ohne Angaben zu Inhabern oder Zahlungen.
Die Forscher gingen von neu registrierten gTLD-Domainnamen aus, die bis Ende September 2025 auf Sperrlisten wie Spamhaus Eine gemeinnützige Organisation, die viel genutzte Sperrlisten missbräuchlicher Domains und IP-Adressen veröffentlicht. Vollständige Definition von Spamhaus oder PhishTank landeten, als täglich etwa 4.000 Domainnamen hinzukamen. Sie wandten drei Methoden an: Zwei suchten nach Domainnamen, die mit demselben Registrar und denselben Nameservern innerhalb eines kurzen Zeitfensters registriert wurden, wobei die strengste eine Registrierung innerhalb von fünf Sekunden verlangte; eine dritte suchte nach Domainnamen mit derselben Kombination aus IP-Adresse und Nameserver am selben Tag, später gefiltert nach ähnlich aussehenden Namen.
Bei insgesamt 56,4 % der gemeldeten Domainnamen wurde mindestens ein verknüpfter Domainname gefunden, bei Phishing-Fällen stieg der Anteil auf 57 %, bei Malware und Botnetzen zusammen auf 43 %, wobei diese Stichproben klein waren. Die Methode erkannte nur 4,6 % der verknüpften Domainnamen, bevor sie auf Sperrlisten erschienen – eine Lücke, die darauf zurückgeführt wird, dass Registries Registrierungsdaten zu diesem Zeitpunkt nur wöchentlich an ICANN übermittelten. Ein Modell deutete darauf hin, dass eine Datenübermittlung innerhalb von 30 Minuten die frühzeitige Erkennung auf 10 % erhöhen könnte; der neueste Registry Agreement Der Vertrag zwischen der ICANN und dem Registry-Betreiber einer gTLD. Vollständige Definition von Registry Agreement verlangt nun mindestens eine tägliche Datenübermittlung.
Die strengste Methode fand im Durchschnitt 2,32 zusätzliche Domainnamen pro gemeldetem Domainnamen, wobei ein Großteil davon aus einer einzigen Kampagne stammte, die algorithmisch erzeugte sechsstellige Namen unter einer einzigen Endung erzeugte, mit Chargen von über 6.000 Domainnamen; ohne diese Kampagne fielen die Zahlen deutlich geringer aus.