Ein neuer Threat Actor namens Hazy Hawk sorgt für Aufsehen in der IT-Sicherheitswelt: Durch das Hijacking verwaister Cloud-Dienste kapert die Gruppe Subdomains namhafter Organisationen – und nutzt diese für Malware-Verbreitung und Betrug. Das zeigt Unternehmen die Wichtigkeit, ihre DNS Einträge und Cloud Ressourcen sorgfältig zu verwalten.

Foto: Adobe Stock / igor.nazlo Die wachsende Nutzung von Cloud-Diensten bringt nicht nur Flexibilität, sondern auch neue Sicherheitsrisiken mit sich. Besonders gefährlich sind dabei verwaiste DNS-Einträge von Cloud-Ressourcen, die nicht mehr aktiv genutzt werden. Genau hier setzt der Bedrohungsakteur „Hazy Hawk“ an, wie aktuelle Erkenntnisse von Infoblox Threat Intel zeigen. Mit raffinierten Methoden nutzt die Gruppe vernachlässigte Cloud-Endpunkte für kriminelle Zwecke – und trifft dabei selbst renommierte Institutionen.

Wer ist Hazy Hawk – und wie funktioniert der Angriff?

Hazy Hawk ist ein spezialisierter Threat Actor, der es auf DNS-Fehlkonfigurationen in der Cloud abgesehen hat. Die Gruppe kapert verwaiste DNS-Einträge von nicht mehr genutzten Ressourcen wie Amazon S3 oder Azure-Endpunkten. Über diese „vergessenen“ Subdomains werden betrügerische Inhalte verbreitet – von gefälschter Werbung bis zu schädlicher Malware. Dabei greift Hazy Hawk auf kommerzielle passive DNS-Dienste zurück, um gezielt nach verwundbaren Einträgen zu suchen.

Globale Auswirkungen und wirtschaftlicher Schaden

Seit Dezember 2024 konnte Hazy Hawk mehrere Subdomains kapern, darunter auch von prominenten Organisationen wie dem U.S. Center for Disease Control (CDC), diversen Regierungsbehörden, Universitäten und internationalen Unternehmen. Die betroffenen Nutzer werden durch manipulierte URLs und täuschend echte Push-Benachrichtigungen in die Irre geführt. Der wirtschaftliche Schaden dieser Aktivitäten trägt erheblich zum milliardenschweren Betrugsmarkt bei – mit drastischen Folgen für viele, insbesondere ältere, Opfer.

So können sich Unternehmen schützen

Um sich gegen Bedrohungsakteure wie Hazy Hawk zu wappnen, empfiehlt Infoblox klare Maßnahmen: Unternehmen sollten ihre DNS-Einträge regelmäßig überprüfen und veraltete Einträge konsequent entfernen – insbesondere jene, die mit nicht mehr verwendeten Cloud-Ressourcen verbunden sind. Zusätzlich sollten Nutzer dazu angehalten werden, Push-Benachrichtigungen von unbekannten Seiten stets abzulehnen. Nur durch ein systematisches Management der eigenen digitalen Infrastruktur lässt sich die Angriffsfläche nachhaltig reduzieren.

Mehr Informationen dazu stellt Infoblox in ihrem Blog zur Verfügung.