Ein verwaister DNS-Eintrag entsteht, wenn ein DNS-Record weiterhin auf eine Cloud-Ressource zeigt, obwohl diese Ressource bereits entfernt wurde. Laut Silent Push ist das ein einfacher Fall mangelhafter Sicherheitsdisziplin, aber keineswegs selten. Die eigentliche Übernahme gelingt, wenn Angreifer den Verweis finden und die gelöschte Cloud-Ressource in eigener Kontrolle neu erstellen. Damit erhalten sie Zugriff auf die betroffene Subdomain.
Für das Projekt „DangleGeddon“ untersuchte Silent Push, wie sich dieser bekannte Angriffsweg mit KI ausbauen lässt. Nach Angaben der Forscher wurde Claude Opus 5 eingesetzt, um kontextangereicherte Skripte zur Übernahme für 12.500 Domains zu erzeugen. KI habe zudem die Entdeckung von Domains und Subdomains massiv erweitert. Anschließend wurde sie genutzt, um aus einem großen Ausgangsdatensatz jene Ressourcen herauszufiltern, denen entweder eine Zuweisung oder eine DNS-Registrierung fehlte. So blieb laut Silent Push eine präzise Liste von mehreren hundert ausnutzbaren Zielen übrig.
Die Forscher schreiben, dieser Prozess habe neue Ziele sichtbar gemacht und die Angriffsfläche über das hinaus erweitert, was menschliche Angreifer vermutlich gefunden hätten. Zudem sei der Aufbau der für eine Ausnutzung nötigen Infrastruktur automatisiert worden. Damit habe man sich, so Silent Push, „nur noch einen Knopfdruck vom Dangle Day entfernt“. Das hypothetische Szenario eines „DangleGeddon“ sei dadurch innerhalb weniger Minuten zu einer sehr realen Bedrohung geworden.
Um die Tragweite zu prüfen, führte Silent Push nach eigenen Angaben sichere Tests durch. Dabei hinterließen die Forscher auf übernommenen Subdomains einen Hinweis an die Eigentümer. Darin erklärten sie auf Deutsch sinngemäß, dass die jeweilige Subdomain durch einen verwaisten DNS-Eintrag auf ein stillgelegtes Cloud-Speicherziel für eine Übernahme verwundbar gewesen sei und nur zum Schutz vor Missbrauch wie Phishing oder Malware-Hosting von einem Sicherheitsforscher gehalten werde, bis der Eigentümer den veralteten Eintrag entferne. Daten würden auf dieser Seite nicht erfasst.
Als Beispiele nennt Silent Push mehrere große Organisationen. In einer Domain der US-Bundesregierung zeigte ein verwaister Eintrag auf einen nicht zugewiesenen Azure-Blob-Storage-Container. Die Übernahme habe es ermöglicht, Phishing-Seiten zu erstellen, die staatliche Vertrauensfilter umgehen. Laut den Forschern kann die Domain dadurch automatisierte Schutzmechanismen aushebeln, indem sie das Vertrauen ausnutzt, das mit .gov-Domains verbunden ist.
Im Bankensektor nennt der Bericht Société Générale, die größte französische Bank. Dort habe eine nicht zugewiesene Azure-Blob-Storage-Ressource noch auf eine Anwendung gezeigt. Für die Industrie verweist Silent Push auf Ford: Ein verwaister DNS-Eintrag zeigte dort auf ein Entwicklungs-Anwendungsgateway auf einer Azure-VM. Dadurch hätten sich Entwickler-Zugangsdaten wie API-Schlüssel und Authentifizierungs-Header für eine spätere Wiederverwendung abgreifen lassen. Außerdem hätte die Subdomain als Plattform für Malware-Hosting dienen können.
Im Pharmabereich führt Silent Push Eli Lilly an. Dort habe ein Eintrag noch auf eine Apple-Geräteanleitung verwiesen, was einem Angreifer erlaubt hätte, sich auf eine bestimmte Zielgruppe und konkrete Ereignisse zu konzentrieren.
Aus diesen Beobachtungen leitet Silent Push mögliche Folgewirkungen eines global angewandten „DangleGeddon“ ab. Für Behörden könnte das laut Unternehmen Tausende Systeme und Millionen Beschäftigte betreffen und mehrere Störungen verursachen, mit potenziell schwerwiegenden Folgen für die nationale Sicherheit. Für den Bankensektor nennt Silent Push Bank of America, UBS und die Bank of Montreal als Beispiele für multinationale Firmen, bei denen Online-Banking, Echtzeit-Zahlungen und Handelsplattformen beeinträchtigt werden könnten. Für die Pharmaindustrie warnt das Unternehmen, eine Kaskade über mehrere globale Pharmakonzerne könne leistungsfähige Forschung und Entwicklung untergraben, klinische Studien stören und die Lieferkette für Medikamente und Therapien auf globaler Ebene beeinträchtigen.