Hackern nutzen gemeinsame CDN-Infrastruktur, um Domain-Reputationsschutz zu umgehen

Sicherheitslage und Risiko

Bis Mai 2026 wurde noch kein CVE zugewiesen, da es sich bei dem Problem um eine architektonische Schwäche handelt und nicht um einen softwaretechnischen Fehler, der durch ein Patch behoben werden kann.

Das bedeutet, dass es keine einfache Aktualisierung gibt, die bereitgestellt werden kann, und das Problem voraussichtlich noch in absehbarer Zeit aktiv bleiben wird.

So funktioniert Underminr in der Praxis Die Underminr-Technik nutzt aus, wie CDNs den HTTP-Host-Header und die Server Name Indication (SNI) in TLS-Handshakes verwenden, um eingehenden Verkehr zu routen.

Technischer Hintergrund

Wenn die Domain eines Angreifers denselben CDN-Edge-Node wie eine vertrauenswürdige Domain teilt, kann der Angreifer Anfragen senden, die die SNI der vertrauenswürdigen Domain enthalten, während der eigentliche Backend-Server, der die Verbindung verarbeitet, vollständig unter seiner Kontrolle steht.

Sicherheitsgeräte, die am Netzwerkrand den Verkehr inspizieren, erkennen eine Verbindung zu einem renommierten Namen und leiten sie durch, ohne eine Warnung auszulösen.

Besonders schwierig ist die Erkennung, da HTTP/2-Multiplexing eingesetzt wird – eine Protokollfunktion, die es ermöglicht, mehrere Datenströme gleichzeitig über eine einzige Verbindung zu übertragen.

Angreifer können ihren bösartigen Verkehr

Angreifer können ihren bösartigen Verkehr mit normalen, legitimen Anfragen mischen und so die Grenze zwischen gefährlichem und routinemäßigem Verkehr verwischen.

Beobachtetes Angreiferverhalten umfasst die Registrierung von Domains bei CDN-Anbietern, das Erstellen von SNI-betrügerischen Anfragen an große SaaS-Anbieter sowie die Weiterleitung tatsächlicher Payloads über eigene Infrastrukturen.

Ausbeutung in der realen Welt und Verbindungen zu Bedrohungsakteuren Die aktive Ausbeutung von Underminr wurde von Branchenmedien wie SecurityWeek und SC Magazine bestätigt und berichtet.

Sicherheitslage und Risiko

Bedrohungsakteure nutzen diese Methode, um Malware zu verteilen, Phishing-Kampagnen durchzuführen und widerstandsfähige Command-and-Control-Kanäle aufzubauen, die herkömmliche Sicherheitskontrollen umgehen.

Die beobachteten Taktiken entsprechen in hohem Maße Techniken, die historisch mit APT29 und APT41 in Verbindung gebracht wurden; eine direkte Zuordnung zu einer spezifischen Gruppe wurde jedoch nicht bestätigt.

Die Attraktivität dieser Technik ist evident: Sie ist skalierbar, schwer zu blockieren, ohne legitimen Datenverkehr zu beeinträchtigen, und wirksam gegen Organisationen aller Größenordnungen.

Einordnung fuer Autofahrer

Es wird erwartet, dass sowohl staatlich unterstützte Akteure als auch finanziell motivierte kriminelle Gruppen die Methode weiterhin nutzen werden, da das Bewusstsein dafür wächst. Der Schutz vor Underminr erfordert einen mehrschichtigen Ansatz, der über eine grundlegende Perimeter-Filterung hinausgeht.

Organisationen sollten Deep Packet Inspection einsetzen, um SNI- und Host-Header mit erwarteten CDN-Endpunkten abzugleichen, und auf ungewöhnliche Verkehrsmuster achten, die sich an hochreputable Domains richten und nicht mit der normalen Geschäftstätigkeit übereinstimmen.

CDN-Konfigurationen sollten überprüft werden, um eine ordnungsgemäße Isolierung zwischen Mandanten sicherzustellen, und Sicherheitsteams sollten sich direkt mit ihren CDN-Anbietern in Verbindung setzen, um zu verstehen, welche architektonischen Schutzmaßnahmen eingeführt werden.

Technik und Auswirkungen

Die Aktualisierung von Bedrohungsintelligenz-Feeds mit bekannten von Angreifern registrierten Domains sowie die Investition in Verhaltensanalysen können ebenfalls dazu beitragen, verdächtige Aktivitäten aufzudecken, bevor sie Schaden anrichten. Tushar ist ein leitender Berichterstatter für Cybersicherheit und Datenpannen.

Er spezialisiert sich auf die Berichterstattung über Nachrichten, Trends und aufkommende Bedrohungen im Bereich der Cybersicherheit, einschließlich Datenlecks und Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen.

Russischer Hacker nutzt gefacktes Gemini, um Administrator-Zugangsdaten zu stehlen und Krypto-Wallets auszuleeren. Das LMS von KnowledgeDeliver wurde durch einen Zero-Day-Exploit kompromittiert, um den Web-Shell BLUEBEAM zu installieren. Chatverläufe von WhatsApp werden auf macOS und iOS unverschlüsselt gespeichert.