KI-gestützte Erkennung von Lookalike-Domains: Wie Infoblox mit LLMs gegen Täuschungsversuche vorgeht

Täuschend ähnlich: Das Problem mit gefälschten Domains

Internetadressen, die legitimen Domains zum Verwechseln ähnlich sehen, stellen eine wachsende Herausforderung dar. Ob „tacobe11.com“ statt „tacobell.com“ oder „login-outlook.com“ anstelle von „login.outlook.com“ – solche Varianten dienen häufig als Werkzeug für Betrug, Credential Harvesting oder Phishing-Kampagnen. Manche fungieren sogar als unauffällige Command-and-Control-Server.

Die Cybersecurity-Firma Infoblox setzt bereits diverse Algorithmen ein, um solche Nachahmungen zu identifizieren. Eine zentrale Schwierigkeit besteht darin, eine umfassende Liste potenzieller Zieldomains zusammenzustellen, die Angreifer imitieren könnten. Bisherige Methoden umfassen die Analyse häufig angefragter Domains, Kundenrückmeldungen oder die Auswertung typischer Tippfehler.

Diese Ansätze bleiben jedoch lückenhaft, da weniger frequentierte Domains oft unberücksichtigt bleiben. Zudem verlangsamt die kontinuierliche Prüfung jeder neuen Registrierung gegen eine ständig wachsende Referenzliste die Verarbeitung erheblich.

Sprachmodelle im Praxiseinsatz

Das Threat-Intelligence-Team von Infoblox testete daraufhin den Einsatz großer Sprachmodelle. Die Aufgabe: Automatisch ermitteln, ob eine Domain als Nachahmung konzipiert wurde und welche legitime Adresse sie vermutlich imitiert.

Die Resultate bei bekannten Domains fielen vielversprechend aus. Sowohl bei echten Lookalikes als auch bei unverdächtigen Adressen erreichte das System eine Trefferquote von über 91 Prozent. Für einen Sicherheitsanbieter sind jedoch falsche Alarme kritisch, da sie zu Betriebsunterbrechungen führen und Analysten unnötig belasten können.

Wenn KI-Systeme sich irren

Bei genauerer Analyse zeigte sich eine Schwachstelle: Besonders am Rand der Ähnlichkeitsskala produzierte das Modell fehlerhafte Zuordnungen. Die harmlose Domain „netgeek.com“ wurde beispielsweise fälschlich als Imitation von „netgear.com“ oder „geeksquad.com“ eingestuft.

Ausgefeiltes Prompt Engineering – einschließlich Techniken wie Chain-of-Thought und Reflexionsmethoden – verbesserte die Ergebnisse. Doch manchmal führt der Rückgriff auf bewährte Verfahren schneller zum Ziel als weitere KI-Optimierung.

Zweistufige Verifikation gegen Fehlalarme

Infoblox entwickelte einen mehrstufigen Ansatz zur Reduzierung falscher Treffer:

Erste Validierung durch klassische Algorithmen: Im Fall von „netgeek.com“ konnte ein modifizierter Edit-Distance-Algorithmus die Domain klar von „netgear.com“ und „geeksquad.com“ abgrenzen. Anders verhielt es sich bei „amzn.com“ – das LLM schlug zutreffend „amazon.com“ als Ziel vor, und auch der Distanz-Algorithmus bewertete beide als ähnlich. Ohne zusätzlichen Kontext wäre dies problematisch, obwohl „amzn.com“ zu Amazon Inc. gehört und keine Bedrohung darstellt.

Kontextuelle Überprüfung: Der zweite Schritt umfasst die Analyse von Registrierungsdaten und SSL/TLS-Zertifikaten. Bei „amzn.com“ und „amazon.com“ zeigen identische Nameserver, Registrare und gemeinsame Zertifikate die Zugehörigkeit zur selben Organisation. Damit lässt sich die Domain als ungefährlich einstufen, obwohl sie technisch ein Lookalike darstellt.

Diese Doppelprüfung entspricht dem Ansatz verantwortungsvoller KI-Nutzung: Vertrauen in die Technologie bei gleichzeitiger Verifikation der Ergebnisse.

Aktuelle Funde in der Praxis

Die Methode ermöglicht die Aufdeckung verschiedener Bedrohungsszenarien. Zwei aktuelle Beispiele:

Die Domain „infobiox.com“ wurde mit einem Konfidenzscore von 8 von 10 als Imitation von „infoblox.com“ identifiziert. Das Modell erkannte die Ersetzung und bewertete dies als möglichen Versuch, Nutzer zur Anmeldung auf einem gefälschten Portal zu verleiten.

Bei „paioaltonetworks.tech“ (Ziel: „paloaltonetworks.com“) lag der Score bei 6 von 10. Das System erkannte sowohl die Buchstabenersetzung als auch die abweichende Top-Level-Domain „.tech“ statt „.com“ als Indizien.

Im Rahmen einer Untersuchung zu geparkten Domains nutzte Infoblox diese Methoden, um zu analysieren, welche legitimen Marken Angreifer bevorzugt nachahmen.

Stärken und Schwächen der KI-Analyse

Ein interessanter Aspekt: Das LLM identifizierte „apple.com“ als wahrscheinliches Ziel für „maps-iphone.cloud“ – eine Verbindung, die reine String-Ähnlichkeitsalgorithmen möglicherweise übersehen hätten. Dies zeigt das Potenzial kontextbasierter Bewertung, deutet aber auch auf Grenzen traditioneller Methoden bei der Eindämmung von KI-Halluzinationen hin.

An diesem Punkt werden neben Registrierungsdaten und Zertifikaten auch die Konfidenzscores und teilweise Websiteinhalte in die Bewertung einbezogen.

Vorsicht ist jedoch bei der Interpretation dieser Scores geboten: Sprachmodelle sind Token-Prädiktoren, keine statistischen Regressoren. Bei ausreichend hoher Temperatur können Konfidenzwerte auf einer 10-Punkte-Skala um bis zu 3 Punkte schwanken.

Zudem können die Modellerklärungen fehlerhaft sein, selbst wenn das Ziel korrekt erkannt wurde. Im Fall „infobiox.com“ behauptete das System eine Ersetzung von „x“ durch „l“, tatsächlich wurde aber „l“ durch „i“ ersetzt. Dies zeigt: Zusätzliche Evidenz ist wertvoll, doch selbst ein teilweise fehlerhaftes Modell kann bei richtiger Eingrenzung nützliche Dienste leisten.

Praktischer Nutzen für Kunden

Die Skalierbarkeit dieser LLM-Abfragen auf täglich neu registrierte Domains eröffnet neue Schutzmöglichkeiten. Infoblox-Kunden profitieren von erweiterter Abdeckung gegen Lookalike-Angriffe, einschließlich Domains außerhalb ihres bisherigen Risikobewusstseins.

Die Integration erfolgt zunächst in die Zero-Day-DNS-Erkennung und das Threat-Defense-Tool „Dossier“. Danach folgen Prozesse zur Einbindung in Domain-Feeds, um den Schutz kontinuierlich auszubauen.

Für Sie ausgewählt