Sinkholing ist eine Abwehrtechnik, die Verkehr zu bösartigen Domains oder IP-Adressen auf einen Server von Forschenden oder Strafverfolgern umleitet und Malware so von ihren Betreibern abschneidet.
Wie Sinkholing funktioniert
Die meiste Malware kontaktiert ihren Command-and-Control-Server über einen Domainnamen. Übernehmen Verteidiger diese Domain – indem sie sie zuerst registrieren, mit der Registry kooperieren oder per Gerichtsbeschluss –, können sie sie auf einen eigenen „Sinkhole“-Server zeigen lassen. Infizierte Rechner verbinden sich dann mit dem Sinkhole statt mit den Kriminellen und erhalten keine weiteren Befehle. Varianten:
- Domain-Sinkholing – Ändern der DNS-Einträge beschlagnahmter oder vorab registrierter bösartiger Domains.
- DNS-Sinkholes im Unternehmen – der interne Resolver liefert für bekannte schädliche Domains eine harmlose Adresse, wie bei DNS-Firewalls und Response Policy Zones.
- IP- oder BGP-Sinkholing – Umleiten des Verkehrs zu einem Adressbereich auf Netzwerkebene.
Warum Sinkholing wichtig ist
Sinkholes stören Botnetze und zeigen zugleich, wie viele Geräte wo infiziert sind, denn jeder Bot meldet sich beim Sinkhole. Forschende benachrichtigen mit diesen Logs Provider und Betroffene. Bekannte Fälle:
- Conficker (2009) – eine Arbeitsgruppe der Branche registrierte vorab die Domains, die der Wurm täglich erzeugte.
- WannaCry (2017) – der Forscher Marcus Hutchins registrierte eine im Code gefundene, nicht registrierte Domain, die als Kill Switch wirkte und die weitere Ausbreitung der Ransomware stoppte.
- Avalanche (2016) – eine internationale Polizeioperation beschlagnahmte Hunderttausende Domains krimineller Infrastruktur und leitete sie in Sinkholes um.
Grenzen
Malware-Autoren reagieren mit Domain-Generierungsalgorithmen, fest codierten IP-Adressen, Peer-to-Peer-Netzen und Ausweichkanälen. Sinkholing bereinigt außerdem keine infizierten Rechner – es neutralisiert sie nur, bis die Besitzer benachrichtigt sind und die Malware entfernen.
