Anfang Mai hat Google 8 neue Top-Level-Domains (TLD) eingeführt. Besonders beliebt sind seither Websites mit der neuen Domain-Endung .zip. Laut einer Analyse der Sicherheitsexpertinnen und -experten von Cisco Talos wurden seit dem 3. Mai über 10'000 dieser URLs registriert. Fünfmal mehr als die zweithäufigste TLD .mov.

Man habe in den zip.-Domains aber bedenkliche "Muster" entdeckt. Die neue Endung würde eine grosse Anzahl von Hackern und Cyberkriminellen anlocken, so die Sicherheitsexpertinnen und -experten.

Das Problem: Die neue TLD hat denselben Namen wie das bekannte Dateiformat .zip. So registrieren die Cyberkriminellen etwa URLs, die komprimierten Dateien ähneln. Dateimanager wie Windows Explorer oder bestimmte Messenger-Dienste identifizieren diesen Namen seit Mai jedoch korrekt als URL und leiten Nutzende auf bösartige Websites weiter.

Dadurch könnten auch vertrauliche oder unternehmensinterne Daten im Namen einer Datei offengelegt werden, meinen die Sicherheitsexpertinnen und -experten von Cisco Talos. Solche Dateinamen seien für die Angreifenden besonders wertvoll, da sie diese unter anderem als Köder benutzen – beispielsweise für Social-Engineering-Angriffe.

Viele Sicherheitsexperten empfehlen Unternehmen, die .zip-Domains in ihren Firewalls vollständig zu blockieren. Da aber immer mehr die TLD einführen, wäre die Blockierung künftig nicht mehr möglich. In jedem Fall müssten sich SOC-Betreiber der Risiken von Informationslecks und Phishing-Versuchen bewusst sein und ihre Tools anpassen, heisst es.

"Solange die neue TLD noch nicht weit verbreitet ist, lassen sich .zip-Domänen blockieren", sagt auch Thorsten Rosendahl, Technical Leader von Cisco Talos in Deutschland. "Führen allerdings mehr Unternehmen .zip ein, ist die Sperrung einer ganzen TLD kaum noch praktikabel. In jedem Fall müssen SOC-Betreiber ihren Netzverkehr wesentlich intensiver überwachen und Mitarbeitende auf die Gefahren von .zip-Domänen hinweisen."