▸ Wie man Typosquatting-Domains findet

Erzeugen Sie Permutationen Ihrer Marke und gleichen Sie sie gegen einen Bestand bereits bekannter Domains ab, statt pro Kandidat eine DNS-Anfrage zu stellen. Was übrig bleibt, priorisieren Sie nach drei Feldern: MX-Record, A-Record, TLS-Zertifikat. Diese drei trennen die Handvoll relevanter Treffer von den mehreren hundert geparkten Zeichenketten.

• ▸ Einmaliges Audit für eine eigene Marke? dnstwist plus Bestandsabgleich. Ein Nachmittag, kein Budget.
• ▸ Laufende Erkennung? Den täglichen Neu-Domain-Feed gegen Ihre Permutationsliste filtern und Certificate Transparency mitlesen. Eine Registrierung fällt am Tag der Registrierung auf, nicht am Tag des Angriffs.
• ▸ Entscheiden, was eskaliert wird? Fangen Sie bei den eigenen Resolver-Logs an. Ein Lookalike, das in Ihrem Haus nie jemand aufgelöst hat, rangiert unter einem, das letzte Woche zehn Leute angesteuert haben.

Typosquatting im engen Sinn heißt: eine Domain registrieren, bei der ein Mensch durch Vertippen landet. In der Praxis laufen fünf verschiedene Familien unter demselben Wort, und sie brauchen unterschiedliche Erkennungsmethoden - ein Permutationsgenerator findet die ersten beiden und ist für den Rest blind:

• 1. Typosquatting - ein Tastaturfehler. exapmle.com, exmple.com, examlpe.com. Findet der Permutationsgenerator.
• 2. TLD-Squatting - dieselbe Zeichenkette unter anderer Endung. example.co, example.cm, example.app. Auch Permutation, aber die TLD-Liste müssen Sie selbst mitgeben.
• 3. Combosquatting - Ihre Marke korrekt geschrieben, plus ein Wort. example-login.com, secure-example.net, example-support.co. Die häufigste Familie in echtem Phishing, und kein Tippfehler-Generator bringt sie hervor. Nur eine Teilstring-Suche im registrierten Bestand findet sie.
• 4. Homograph- / IDN-Spoofing - Zeichen, die gleich aussehen. Kyrillisches a statt lateinischem a, rn statt m, 1 statt l. Gespeichert wird Punycode (xn--), ein Byte-Vergleich mit Ihrer Marke schlägt also nie an.
• 5. Bitsquatting - ein einzelnes gekipptes Bit im Namen, im Speicher oder auf der Leitung. fxample.com statt example.com. Selten, real und billig zu erzeugen.

dnstwist ist die Referenzimplementierung und das, was am Ende fast jeder einsetzt. Es wendet in einem Durchlauf jede Permutationsfamilie an - Auslassen, Einfügen, Verdoppeln, Vertauschen, Ersetzen durch Nachbartasten, Vokaltausch, Bindestriche, Homoglyphen, Bitsquatting - und prüft auf Wunsch, welche Kandidaten auflösen. urlcrazy liegt Kali bei und macht dasselbe mit anderen Wortlisten.

Drei Varianten, die günstigste zuerst:

# 1. Permutations only, no network - this is your candidate list
dnstwist --format list example.com > candidates.txt
wc -l candidates.txt

# 2. Same sweep, but resolve as it goes and keep only what exists
dnstwist --registered --format csv example.com > registered.csv

# 3. The two fields that decide priority later: MX, and a fuzzy hash of the
#    live page compared against the real one (--ssdeep on older builds)
dnstwist --registered --mx --lsh ssdeep --format json example.com > registered.json

# 4. Cross the brand with a TLD dictionary, not just the suffix you own
printf '%s\n' com net org co io app shop online site xyz > tlds.txt
dnstwist --tld tlds.txt --format list example.com | sort -u > candidates.txt

Ein einzelnes Token wie example ergibt grob ein- bis dreitausend Permutationen, bevor TLDs dazukommen. Kreuzen Sie das mit einer TLD-Liste, sind Sie bei Zehntausenden Kandidaten - genau deshalb heißt der nächste Schritt nicht „alle auflösen“.

Sie haben jetzt Tausende Zeichenketten und keine Ahnung, welche existieren. Vier Wege, das zu klären, und drei davon sind schlechter, als sie aussehen:

• ▸ DNS-Auflösung - schnell und kostenlos, beweist aber nur, dass der Name einen A- oder NS-Record hat. Eine registrierte Domain ohne Nameserver löst nicht auf, und Sie übersehen sie; Negative Caching liefert außerdem für die Dauer des SOA-Minimums weiter NXDOMAIN.
• ▸ RDAP oder WHOIS pro Kandidat - autoritativ und pro Registry so stark rate-limitiert, dass 20.000 Kandidaten eine Mehrtagesaufgabe sind. Für die Shortlist, nie für die Kandidatenmenge.
• ▸ Zonendatei durchsuchen - exakt für die gTLDs, für die Sie CZDS-Freigabe haben, mehrere Gigabyte pro Zone, blind für fast jede ccTLD.
• ▸ Die Kandidaten in einem bestehenden Bestand nachschlagen - eine Abfrage statt Tausender, kein Rate-Limit, und Abdeckung von TLDs, für die Sie keinen Zonenzugang haben. Darum geht der nächste Abschnitt.

Das hier ist die Seite, auf der Sie gerade sind, gewichten Sie den Abschnitt entsprechend. Er gehört hierher, weil das Problem genau diese Form hat: DNSniffer indexiert gTLD-Zonendateien und Certificate Transparency über alle TLDs hinweg in einer durchsuchbaren Domaintabelle - derzeit 358.047.798 aktive Domains über 9.957 TLDs, der Suchendpunkt ist öffentlich, braucht kein Konto und versteht Wildcards. Statt zwanzigtausendmal „existiert dieser Kandidat?“ zu fragen, fragen Sie einmal „was existiert, das so aussieht?“.

Die Wildcard ist hier der entscheidende Teil: * steht für eine beliebige Zeichenfolge, also fängt exam*le Einfügungen, Auslassungen und Ersetzungen in der Mitte des Tokens mit einer einzigen Abfrage ab.

# 1. Every indexed domain containing your brand string, any TLD
curl -s 'https://dnsniffer.com/api/v1/domains?q=example&limit=1000' \
  | jq -r '.data[].name'

# 2. "*" is a wildcard, so one query covers a missing, extra or swapped
#    character anywhere in the middle of the token
curl -s 'https://dnsniffer.com/api/v1/domains?q=exam*le&limit=1000' \
  | jq -r '.data[] | [.name, .tld, .cert_issuer.organization // "-"] | @tsv'

# 3. Narrow to one TLD
curl -s 'https://dnsniffer.com/api/v1/domains?q=example&tld=com&limit=1000'

# 4. Screen today's new domains against the candidate list from step 1
URL=$(curl -s 'https://dnsniffer.com/api/v1/datasets?category=newly_detected' \
      | jq -r '.data[] | select(.periodicity=="daily") | .download_url')
curl -sL "https://dnsniffer.com$URL" -o nrd-daily.zip
unzip -p nrd-daily.zip | tail -n +2 | cut -d, -f1 | sort -u > today.txt
comm -12 today.txt <(sort -u candidates.txt) > hits.txt

Zwei Grenzen, bevor Sie sich darauf verlassen. Der Bestand besteht aus Beobachtungen - Zonendelegierung und Zertifikatsausstellung -, eine registrierte Domain ohne Delegierung und ohne Zertifikat steht also nicht darin. Und ein Treffer sagt Ihnen, dass der Name existiert, nicht wann er registriert wurde; prüfen Sie alles, worauf Sie reagieren, per RDAP nach.

Für laufende Erkennung statt eines einmaligen Audits laufen zwei Dinge serverseitig. Der Monitor hält bis zu zehn Teilstring-Beobachtungen pro Konto und schickt eine Zusammenfassung per E-Mail, sobald neu indexierte Domains passen. Die Neu-erkannt-Exporte liefern jede in den letzten 24 Stunden indexierte Domain als CSV, und genau dagegen lassen Sie Ihre Permutationsliste laufen. Die Seite Neueste Domains zeigt denselben Strom im Browser.

Ein Lookalike wird gefährlich, sobald es eine Seite ausliefert, und praktisch jede Phishing-Seite läuft über HTTPS - also mit Zertifikat, also mit einem öffentlichen Certificate-Transparency-Eintrag Sekunden nach der Ausstellung. CT ist die einzige Methode hier, die Ihnen von einem Lookalike erzählt, bevor das erste Opfer darauf trifft, und die einzige, die Subdomain-Spoofing sieht.

Zwei Einstiege: einen aggregierten Firehose abnehmen oder die Logs direkt über die RFC-6962-API lesen. So oder so schreiben Sie den Filter selbst, und in den Filter gehört das unscharfe Matching - Sie beobachten einen Namensstrom, statt eine feste Kandidatenliste zu prüfen.

# Aggregated firehose, filtered to names close to your brand
websocat wss://certstream.calidog.io \
  | jq -r '.data.leaf_cert.all_domains[]?' \
  | sed 's/^\*\.//' \
  | python3 -c '
import sys, unicodedata, idna
from rapidfuzz.distance import Levenshtein

BRAND = "example"

def decode(name):
    try:
        return idna.decode(name) if "xn--" in name else name
    except Exception:
        return name

def fold(s):
    # Cheap confusable folding. A real one uses the Unicode confusables table.
    s = unicodedata.normalize("NFKD", s)
    for a, b in (("rn", "m"), ("vv", "w"), ("1", "l"), ("0", "o"), ("5", "s")):
        s = s.replace(a, b)
    return s

for line in sys.stdin:
    name = line.strip().lower()
    label = fold(decode(name)).split(".")[0]
    if BRAND in label:                       # combosquat
        print("substring", name, flush=True)
    elif Levenshtein.distance(label, BRAND) <= 2:   # typo / homoglyph
        print("distance ", name, flush=True)
'

Zertifikate tragen SANs, ein Zertifikat liefert also viele Namen. Reduzieren Sie jeden auf die registrierbare Domain und lassen Sie dann drei Tests laufen, denn jeder ist blind für das, was die anderen finden: Levenshtein-Distanz bis 2 gegen Ihr Markentoken findet die Tippfehler-Familie, ein einfacher Teilstring-Test die Combosquat-Familie, und das Dekodieren der xn---Labels mit anschließender Normalisierung verwechselbarer Zeichen die Homograph-Familie.

Alles bisher findet Lookalikes, die existieren. Ihre Resolver-Logs finden Lookalikes, die funktionieren, und das ist eine deutlich kürzere und deutlich dringendere Liste. Zwei Abfragen auf Ihre DNS- oder Proxy-Logs sind mehr wert als die meisten bezahlten Feeds:

• ▸ NXDOMAIN-Antworten, die knapp an Ihrer eigenen Domain vorbeigehen. Das sind Ihre eigenen Leute und Kunden beim Vertippen. Jeder dieser Namen kann morgen registriert werden und ab dann fehlgeleitete E-Mails einsammeln. Die Spitze dieser Liste selbst zu registrieren ist die billigste Maßnahme auf dieser Seite.
• ▸ Erfolgreiche Auflösungen von Namen nahe an Ihrem, die Ihnen nicht gehören. Gerade jetzt erreicht jemand aus Ihrem Netz ein Lookalike. Das ist ein Vorfall, kein Monitoring-Fund.

# Unbound / BIND query log -> names your users typed that do not exist,
# ranked by how many times they typed them
grep NXDOMAIN /var/log/unbound/query.log \
  | awk '{print tolower($NF)}' \
  | python3 -c '
import sys
from rapidfuzz.distance import Levenshtein
for name in sys.stdin:
    name = name.strip().rstrip(".")
    label = name.split(".")[0]
    if 0 < Levenshtein.distance(label, "example") <= 2:
        print(name)
' | sort | uniq -c | sort -rn | head -20

Passive DNS erweitert dieselbe Idee über Ihren Perimeter hinaus: Anbieter erfassen Auflösungen kooperierender Resolver und geben Ihnen pro Namen einen Erstsichtungszeitpunkt. Nützlich, um zu bestimmen, wann ein Lookalike live ging, und bauartbedingt verzerrt, denn Sie sehen nur, was deren Sensornetz sieht.

Markenschutz-Anbieter - MarkMonitor, CSC, ZeroFox, Bolster und ein langer Rattenschwanz weiterer - verkaufen Lookalike-Monitoring im Paket mit der Durchführung von Takedowns. Das Monitoring ist nicht der schwierige Teil, die fünf Abschnitte oben bilden das meiste davon nach. Bezahlt wird die zweite Hälfte: bestehende Kontakte zu Registraren und Hostern, eingereichte und nachverfolgte Abuse-Meldungen. Wenn in Ihrem Team niemand einen Dienstagnachmittag hat, um mit einem Registrar in einer anderen Jurisdiktion zu diskutieren, ist das echtes Geld wert.

Vier Wege, sobald eine missbräuchliche Domain bestätigt ist, der schnellste und billigste zuerst:

1. 1. Abuse-Meldungen an Registrar und Hoster - kostenlos und mit Abstand am schnellsten bei einer aktiven Phishing-Seite. Schicken Sie die Belege parallel an den Abuse-Kontakt des Registrars und des Hosters: URL, Screenshots, Zeitstempel, wen die Seite imitiert. Eine laufende Zugangsdaten-Abgreifseite kann in Stunden verschwinden. Ein geparktes Lookalike wird ignoriert.
2. 2. Blocklisten-Meldungen - Google Safe Browsing, APWG, PhishTank und Ihr eigener EDR- oder DNS-Filter. Das schützt Ihre Nutzer binnen Minuten, während alles andere in juristischer Geschwindigkeit läuft.
3. 3. URS - ab etwa 375 USD, entschieden in Wochen. Es setzt die Domain nur für den Rest ihrer Laufzeit aus, überträgt sie also nicht an Sie, und verlangt klare und überzeugende Beweise. Gut bei eindeutigem Phishing, nutzlos bei allem Strittigen.
4. 4. UDRP - rund 1.500 USD Verfahrensgebühren bei einem Einzelschiedsrichter für wenige Domains, plus Anwalt, plus ein paar Monate. Danach gehört der Name Ihnen. Sie müssen alle drei Punkte zeigen: verwechselbare Ähnlichkeit zu Ihrer Marke, kein berechtigtes Interesse aufseiten des Inhabers sowie Registrierung und Nutzung in bösem Glauben.

Ein Permutationsdurchlauf für eine bekannte Marke liefert routinemäßig mehrere hundert registrierte Lookalikes. Fast alle sind geparkt, und alle zu verfolgen ist die Art, wie ein Markenschutzprogramm stirbt. Priorisieren Sie nach Betriebsnachweisen, das stärkste Signal zuerst:

• ▸ MX-Record vorhanden. Die Domain kann E-Mail empfangen. Das steht jedes Mal oben - so beginnen Rechnungsbetrug und Business Email Compromise, und dafür braucht es überhaupt keine Website.
• ▸ A-Record auf einen laufenden HTTP-Dienst. Rufen Sie ihn ab. Eine Parkseite des Registrars ist Rauschen; eine Kopie Ihres Login-Formulars ist ein Vorfall.
• ▸ Zertifikat ausgestellt. Da hat jemand etwas konfiguriert. Kostenlose DV-Zertifikate machen das für sich genommen zu schwachem Beleg und zusammen mit einem A-Record zu starkem.
• ▸ Seitenähnlichkeit. Vergleichen Sie einen Fuzzy-Hash der gerenderten Seite oder auch nur den Favicon-Hash mit Ihrem eigenen. dnstwist --lsh erledigt das Erste; ein Favicon-Treffer ist grob und verblüffend wirksam.
• ▸ Registrierungsalter und Registrar. Letzte Woche bei einem Registrar mit schlechter Abuse-Bilanz registriert ist ein anderes Risiko als ein Name, den jemand seit 2013 hält. Hier verdient sich die RDAP-Prüfung ihre Rate-Limits.
• ▸ Von jemandem aufgelöst, der Ihnen wichtig ist. Gleichen Sie gegen Ihre Resolver-Logs ab. Damit wird aus einem Monitoring-Treffer ein Ticket mit Schadensradius.

# Rank confirmed lookalikes by how operational they are
while read -r d; do
  a=$(dig +short A "$d" | head -1)
  mx=$(dig +short MX "$d" | head -1)
  [ -n "$a$mx" ] && printf '%s\tA=%s\tMX=%s\n' "$d" "${a:--}" "${mx:--}"
done < hits.txt | sort -t= -k3 -r

# Authoritative registration date for the shortlist only - RDAP rate-limits
while read -r d; do
  curl -s "https://rdap.org/domain/$d" \
    | jq -r --arg d "$d" '.events[]? | select(.eventAction=="registration")
                          | "\($d),\(.eventDate)"'
  sleep 1
done < shortlist.txt > shortlist-dates.csv

• ▸ Distanz gegen Punycode messen. xn--exmple-4of.com ist als Bytefolge weit weg von example.com und auf dem Bildschirm identisch. Dekodieren Sie jedes xn---Label, bevor Sie irgendetwas vergleichen.
• ▸ NXDOMAIN vertrauen. Eine registrierte Domain ohne Nameserver löst nicht auf. Das Fehlen einer DNS-Antwort ist nicht das Fehlen einer Registrierung.
• ▸ Punkte zählen, um die registrierbare Domain zu finden. foo.co.uk und foo.uk folgen unterschiedlichen Regeln. Nehmen Sie die Public Suffix List.
• ▸ Nur erzeugen, nie suchen. Kein Permutationsgenerator bringt example-account-verify.com hervor. Lassen Sie die Teilstring-Suche im registrierten Bestand weg, und die gesamte Combosquat-Familie ist für Sie unsichtbar - genau die Familie, die in echtem Phishing auftaucht.
• ▸ Bei Erneuerungen erneut alarmieren. Ohne dauerhafte Erstsichtungsliste sieht jede Zertifikatserneuerung wie ein frischer Fund aus, und Ihre Warteschlange füllt sich mit Domains, die Sie im März schon bewertet haben.
• ▸ Defensivregistrierung ohne Plan. Die fünfzig häufigsten Vertipper zu kaufen ist vernünftig; fünftausend zu kaufen ist eine Dauerrechnung ohne Ausstieg, und der Permutationsraum ist praktisch unendlich. Registrieren Sie, was Ihre eigenen NXDOMAIN-Logs als tatsächlich getippt belegen, leiten Sie diese auf Ihre echte Seite um, und überlassen Sie den Rest dem Monitoring.