Der Wert von Hash Blocklists

IP und Domain Blocklists (DNSBLs) sind sehr effektive Filter gegen bösartige E-Mail. Sie haben jedoch ein großes Manko: Wie blockiert man eine E-Mail, die von einem beeinträchtigten Konto bei Gmail, Hotmail oder einem anderen großen E-Mail-Serviceprovider (ESP) gesendet wird?

Sie können nicht sämtliche E-Mails von diesen ESPs blockieren. Doch indem Sie einen Hash eines beeinträchtigten E-Mail-Kontos erstellen, können E-Mails von diesem gehackten Konto blockiert werden, ohne die Privatsphäre des Inhabers anzutasten. Darüber hinaus können Sie diesen Ansatz auf andere besorgniserregende Bereiche ausweiten.

Was ist eine Hash Blocklist?

Einfach gesagt ist eine Hash Blocklist (HBL) eine Liste mit kryptografischen Hashes, die aus bösartigen Inhalten gewonnen werden. Die HBL von Spamhaus ist erweiterbar, d. h., Untergruppen der Liste können verschiedene Bereiche bösartiger Inhalte behandeln. Beeinträchtigte E-Mail-Adressen, Cryptowallets und Malware-Dateien sind alle in der HBL von Spamhaus enthalten. Lassen Sie uns diese Bereiche einmal genauer betrachten.

Wie blockiert man E-Mails von beeinträchtigten Konten, die zu großen E-Mail-Serviceprovidern gehören?

Stellen wir uns vor, das Gmail-Konto von Vicky sei beeinträchtigt. Ein Angreifer könnte dann die Anmeldedaten von Vicky nutzen, um eine E-Mail direkt von Vickys Account zu versenden. Die üblichen E-Mail-Schutzmechanismen greifen hier nicht, weil die Nachricht vom Gmail-Server kommt. Dieser ist ein legitimer Server, der Millionen Menschen E-Mail-Service bietet. Die Überprüfung der Reputation der Absender-IP-Adresse hilft hier nicht, auch nicht die der Absender-Domain.

Wenn Spamhaus jedoch ein E-Mail-Konto als beeinträchtigt einstuft, weisen wir dieser spezifischen E-Mail-Adresse einen Hash zu. So können Nutzer die HBL abfragen und E-Mails von diesem gehackten E-Mail-Konto blockieren, das sonst unentdeckt geblieben wäre.

Wie funktioniert eine Malware Hash Blocklist?

Ähnlich wie bei einer bösartigen E-Mail-Adresse, bei der wir eine mit Malware assoziierte Datei gesehen haben, weisen wir der Datei einen kryptografischen Hash zu. Das heißt, selbst wenn keine bösartige IP oder Domain mit der die Malware-Datei enthaltenden E-Mail-Nachricht verknüpft ist, kann in der Malware HBL nach dem Hash im „Datei“-Kontext gesucht werden. Durch die Spamhaus HBL-Ergebniscodes erfahren Sie zwei Dinge:

1. Bösartig: Hier wurde die abgefragte Datei von Spamhaus Malware Labs untersucht und als bekannte Malware identifiziert. Die Malware-Familie ist auch im Ergebnisdatensatz enthalten.
2. Verdächtig: Hier wurde die abgefragte Datei im Spam beobachtet, und sie ist durch ihre Art verdächtig. Auch wenn von Spamhaus Malware Labs noch nicht bestätigt wurde, dass die Mail bösartig ist, sollten Sie diese mit extremer Vorsicht behandeln.

Bereits 30 Sekunden nach Erkennung kann einer Malware-Datei ein Hash zugeordnet sein, und sie kann in der Malware HBL erscheinen. Dies verdanken wir den hochmodernen Erfassungsmethoden und den agilen Verbreitungstechniken unserer Experten.

Wie funktioniert eine Cryptowallet Hash Blocklist?

Denken Sie an die „Sextortion“-Scam-E-Mails, die zurzeit verbreitet werden. Sie haben bestimmt schon davon gehört. Sie sehen ungefähr so wie das nachstehende Beispiel aus:

Die Sextortion-E-Mail beinhaltet eine Bitcoin-Adresse, an die das Opfer Geld senden soll. Auch wenn die Absender-E-Mail-Adresse keine Abweisung aufgrund der IP- oder Domain-Reputation auslöst, kann die Bitcoin-Adresse dazu dienen festzustellen, dass die E-Mail bösartig ist und trotzdem blockiert werden soll.

Grenzenlose Möglichkeiten

Praktisch alles, was aus einer E-Mail extrahiert werden kann, kann gehasht werden. Diese Daten können dann dazu genutzt werden, eine neue Unterliste zu erstellen, mit der sich die Zahl der Punkte, an denen Sie ansetzen können, vergrößert. Die Spamhaus HBL hilft Postmastern und Filtersoftware, neue Bedrohungen sofort zu erkennen und zu blockieren. Aufgrund ihrer erweiterbaren Natur gilt dies auch für die fernere Zukunft noch.