Die meisten Host-Namen im Netz sind maximal 24 Stunden vorhanden

Dieses Phänomen hat einen nicht zu vernachlässigenden Umfang: Ganze 71 Prozent aller einzigartigen Host-Namen bestünden nur maximal 24 Stunden lang, ergab eine Untersuchung durch das Unternehmen Blue Coat Systems. Dessen Forschungs-Team habe dafür 90 Tage lang insgesamt 470 Millionen Host-Namen, also Domains und Subdomains, beobachtet.

Die ständig neu und nur für kurze Zeit auftauchenden Websites werden nach weitergehenden Erkenntnissen häufig von Kriminellen zum Aufbau von Botnetzen genutzt. Unter den Top 50 der geprüften übergeordneten Domains enthielten immerhin 22 Prozent Schadprogramme. Hier erzeugen die Verbreiter von Malware eine hohe Anzahl an Subdomains auf vergleichsweise wenigen Domains.

Vor allem aber bilden die von automatisierten Systemen erzeugten Ein-Tages-Domains eine wesentliche Basis für dynamische Command-and-Control-Architekturen, die skalierbar, schwer nachzuverfolgen und relativ einfach zu implementieren sind. Alternativ lassen sie sich aber auch nutzen, um mit einzigartigen Subdomains Spam-Mails zu erzeugen und den Filtersystemen möglichst wenig Angriffsfläche zu bieten.

Die Erzeuger der nur kurz verfügbaren Host-Namen sind dabei recht breit gefächert. Der aktivste Akteur ist hierbei ein Command-and-Control-Server für einen Trojaner-Dialer, der in den 90 Tagen Beobachtungszeit mehr als 1,3 Millionen Subdomains generierte. Dieser macht damit aber lediglich einen Anteil von 0,43 Prozent an allen kurzfristig verfügbaren Adressen aus. Die Forscher fanden zehn weitere Domains, unter denen eine ähnlich hohe Aktivität herrschte.

Doch ist es bei weitem nicht so, dass nur Kriminelle mit kurzfristig verfügbaren Host-Namen arbeiten. So arbeiten beispielsweise Content Delivery Networks (CDN) und auch andere Anbieter mit eine hohen Dynamik ihrer Inhalte, darunter auch viele Anbieter von Pornografie mit häufig wechselnden Subdomains.