Prestige-Unis im Netz: Porno und Schadsoftware durch veraltete Subdomains

Hunderte Subdomains renommierter Universitäten wie der University of California, Berkeley, Columbia University und Washington University in St. Louis leiten Besucher auf pornografische Websites oder betrügerische Seiten um. Verantwortlich dafür sind veraltete Domain-Einträge, die von Cyberkriminellen gezielt ausgenutzt werden.

Der Sicherheitsforscher Alex Shakhov von SH Consulting entdeckte, dass mindestens 34 Universitäten betroffen sind. Allein bei Google finden sich Tausende solcher manipulierten Seiten. Beispiele für betroffene Subdomains sind:

• causal.stat.berkeley.edu/ymy/video/xxx-porn-girl-and-boy-ej5210.html – führt zu pornografischen Inhalten
• conversion-dev.svc.cul.columbia[.]edu/brazzers-gym-porn – ebenfalls pornografische Inhalte
• provost.washu.edu/app/uploads/formidable/6/dmkcsex-10.pdf – ein als PDF getarnter Betrugsversuch

In einem Fall wurde sogar eine gefälschte Warnmeldung angezeigt, die Nutzer aufforderte, für die angebliche Entfernung von Malware zu zahlen.

Wie die Betrüger vorgehen

Die Angreifer nutzen eine Nachlässigkeit der Universitäts-IT aus: Werden Subdomains wie provost.washu.edu nicht mehr benötigt, löschen Administratoren oft nur die zugehörigen Inhalte, nicht aber den CNAME-Eintrag. Dieser verweist weiterhin auf die IP-Adresse des Servers. Wenn die Subdomain später nicht mehr genutzt wird, registrieren Betrüger die freie Domain und nutzen sie für ihre Zwecke.

Laut Shakhov ist eine Gruppe namens Hazy Hawk für die Angriffe verantwortlich. Diese ist bereits für ähnliche Domain-Hijacking-Angriffe bekannt.

Gefahren für Nutzer und Reputation

Die Vorfälle zeigen, wie gefährlich veraltete Domain-Einträge sein können. Neben der Verbreitung von Schadsoftware leiden auch die Reputationen der betroffenen Universitäten. Besucher könnten fälschlicherweise annehmen, die Inhalte stammten von den offiziellen Seiten der Hochschulen.

Experten raten Universitäten und Unternehmen, regelmäßig ihre Domain-Einträge zu überprüfen und nicht mehr genutzte Subdomains vollständig zu löschen, um solche Angriffe zu verhindern.