Fast Flux: Der alte Trick, der immer noch moderne Cyberangriffe antreibt.

Cyberkriminelle brauchen nicht immer neue Techniken. Manchmal finden sie einfach neue Wege, alte zu nutzen. Fast zwei Jahrzehnte lang hat "Fast Flux" Angreifern geholfen, Phishing-Seiten, Malware-Infrastruktur und Befehls- und Kontrollsysteme online zu halten. Anstatt eine bösartige Domain an einen einzigen festen Server zu binden, leiten Angreifer den Datenverkehr durch einen sich ständig verändernden Pool kompromittierter Geräte.

Dazu können ein Router zu Hause, ein Büro-Gateway, ein Modem, ein Computer oder ein anderes internetfähiges Gerät gehören, dessen Besitzer möglicherweise nicht weiß, dass es infiziert ist. Jedes Gerät fungiert kurzzeitig als Relais und leitet den Datenverkehr an die reale Infrastruktur des Angreifers weiter, bevor ein anderes Gerät dessen Platz einnimmt. Wenn Verteidiger eine Adresse blockieren, zeigt die Domain einfach woanders hin.

Die Schnellfluss-Infrastruktur bewegt sich ständig, was es erschwert, sie zu verfolgen, zu blockieren und auszuschalten.

Schneller Fluss zeigt sich bei aktuellen Cyberangriffen

Im Juni 2026 berichteten Forscher , dass die Silent Ransom Group ein schnelles Flux-Netzwerk nutzte, um die Infrastruktur zu verbergen, die ihre Angriffe im Rechts-, Finanz- und Dienstleistungssektor unterstützt.

Die Knoten verteilten sich auf 18 Länder und 22 Internetdienstanbieter. Sie rotierten die DNS-Einträge für zwei mit der Gruppe verknüpfte Domains, wodurch die Systeme hinter diesen Domains schwerer zu finden und zu blockieren waren.

Die Gruppe, auch bekannt als Luna Moth, Chatty Spider und UNC3753, erhält durch soziale Manipulation Zugang. Angreifer geben sich als IT-Mitarbeiter aus, rufen Mitarbeiter an, starten Bildschirmfreigabesitzungen oder installieren Fernzugriffstools.

Die Das FBI hat außerdem gewarnt, dass Gruppenmitglieder Büros betreten und Speichergeräte nutzen können, um Daten zu stehlen oder Malware zu installieren. Einmal im Netzwerk, bewegt sich die Gruppe seitlich, stiehlt sensible Daten und droht mit deren Veröffentlichung.

Gebaut, um dem Entfernen zu widerstehen

Im April 2025 warnten die NSA, CISA, FBI und internationale Partner, dass der schnelle Fluss eine ernsthafte Bedrohung für die nationale Sicherheit darstelle. Kriminelle und staatlich unterstützte Gruppen nutzen es, um die Systeme hinter Phishing, Malware, Spionage und Führungs- und Kontrollaktivitäten zu verbergen.

Kugelsichere Hosting-Anbieter verkaufen ebenfalls Infrastruktur an Cyberkriminelle und ignorieren Versuche, sie abzuschalten. Schneller Fluss hilft ihnen, bösartige Dienste online zu halten, indem der Datenverkehr über ein sich wandelndes Netzwerk von Systemen geleitet wird.

Cyberangriffe am Leben erhalten

Fast Flux hat Bestand gehabt, weil es ein grundlegendes Angreiferproblem löst: wie man verbunden bleibt, wenn Verteidiger beginnen, die eigene Infrastruktur zu blockieren.

"Es ist eine Widerstandsfähigkeitsschicht", sagte Rachna Srivastava, leitende Produktmarketingleiterin bei Illumio. "Es ist ein Langschwanz-Angriff, bei dem es Monate später weiterhin sein Zuhause nennen wird."

Diese Widerstandsfähigkeit hat den schnellen Wandel in den Bereichen Phishing, Malware, Ransomware, Cyberkriminalitätsinfrastruktur und staatlich verbundene Spionage nützlich gemacht.

Schneller Fluss durch die Jahre

• 2007 — Rock Phish
  Rock Phish richtete sich an Bankkunden mit gefälschten Webseiten. Die Seiten haben Login-Daten gestohlen. Schneller Fluss bewegte sie über infizierte Computer, was ihnen half, online zu bleiben.

• 2007–2008 — Sturmwurm
  Storm Worm verbreitete sich durch Spam-E-Mails mit Fake-News-Schlagzeilen und Grußkarten. Die Links installierten Malware, die Opfer in eines der größten Botnetze ihrer Zeit zog. Der schnelle Fluss drehte die IP-Adressen der Seiten schneller, als die Blocklisten mithalten konnten.

• 2009–2016 — Avalanche
  Avalanche unterstützte Malware, Phishing, Spam und Bankdiebstahl in mehr als 180 Ländern. Fast Flux verbarg das Netzwerk hinter sich ändernden Systemen. Die Schließung betraf 30 Länder und mehr als 800.000 Domains.

• 2020–2022 — Nefilim
  Nefilim richteten sich auf große Unternehmen. Es stahl Daten, sperrte Dateien und forderte Bezahlung. Fast Flux half, die Systeme hinter den Angriffen zu verbergen.

• 2021–2022 — Hive
  Hive hat mehr als 1.500 Opfer in über 80 Ländern getroffen. Zu den Zielen gehörten Krankenhäuser, Schulen, Banken und kritische Infrastruktur. Fast Flux half, Teile seines Netzwerks verborgen zu halten.

• 2022–2023 — Gamaredon
  Gamaredon setzte Spearphishing und Malware ein, um ukrainische Organisationen ins Visier zu nehmen, während schnell wechselndes DNS half, seine Kommando- und Kontrollinfrastruktur durch schnell rotierende IP-Adressen zu verbergen und zu schützen.

• 2024 — Nicht zugeordnetes kriminelles Netzwerk
  Forscher fanden 193 Domains, die mit 2.960 IP-Adressen verknüpft sind. Das Netzwerk unterstützte Malware, schädliche Webseiten und Command-and-Control-Verkehr.

• 2025 — Kriminelle und staatlich verbundene Akteure
  US-amerikanische und verbündete Behörden warnten, dass kriminelle und staatlich unterstützte Gruppen auf schnellen Fluss setzten. Es half, Phishing-, Malware-, Spionage- und Kommando- und Kontrollsysteme zu verbergen.

• 2026 — Silent Ransom Group
  Die Silent Ransom Group richtete sich an Anwaltskanzleien und Unternehmen in den Bereichen Finanzen, Gesundheitswesen, Versicherungen und Gastgewerbe. Angreifer gaben sich als IT-Mitarbeiter aus, stahlen Daten und forderten eine Bezahlung. Fast Flux verbarg die Systeme hinter den Angriffen.

Wie man schnellen Fluss erkennt

Schneller Fluss ist schwer zu stoppen, weil sich die Infrastruktur ständig verändert. Jede IP-Adresse mag wie ein neues Ereignis aussehen, aber die eigentliche Bedrohung ist das Muster hinter diesen Änderungen.

Srivastava warnte, dass Verteidiger dieses Muster nicht von Hand untersuchen können.

"Wenn du das manuell machst, wirst du überholt", sagte sie.

Es gibt eine Reihe von Anzeichen, die auf eine schnelle Fluxaktivität hinweisen können:

• Sehr kurze DNS-Time-to-Live-Werte
• Wiederholte Anfragen an dieselbe Domäne
• Eine wachsende Anzahl nicht zusammenhängender IP-Adressen
• Große geografische Ausbreitung
•  Häufige Änderungen des Name-Servers
• Nicht übereinstimmendes Proxy- oder Zertifikatsverhalten

Keines dieser Signale beweist für sich genommen einen schnellen Fluss. Aber zusammen können sie zeigen, dass sich eine Domain so verhält, dass sie nicht zu typischen Traffic-Mustern passt.

Warum Sichtbarkeit wichtig ist

Sicherheitsteams müssen DNS-Aktivitäten mit Netzwerkflüssen, Endpunkten, Prozessen und Arbeitslasten verbinden. Sie müssen wissen, welcher Prozess die Domain angefordert hat, welche IP-Adressen zurückgekommen sind, welches System die Verbindung geöffnet hat und ob dieser Datenverkehr mit der normalen Abhängigkeitskarte der Arbeitslast übereinstimmt.

Ohne diesen Kontext jagen die Teams nur kurzlebigen Indikatoren hinterher. Damit können sie sehen, welche Arbeitslast mit verdächtiger Infrastruktur kommuniziert und was diese Arbeitslast als nächstes erreichen kann.

Sobald ein System kompromittiert ist, kann die Technik dem Angreifer helfen, immer wieder nach Hause zu rufen, Daten zu stehlen, Malware zu verbreiten oder nach einem weiteren Opfer zu suchen. Sie kann sich auch mit normalem Browserverkehr vermischen, sodass die Verbindung lange nach dem ersten Angriff aktiv bleibt.

Wie Segmentierung es stoppt

Segmentierung verhindert nicht, dass eine bösartige Domain über externe IP-Adressen hinweg rotiert. Es enthält das Risiko innerhalb der Umwelt. Teams können eine betroffene Arbeitslast isolieren, Ost-West-Verkehr einschränken und Wege blockieren, die keinen geschäftlichen Zweck haben.

Sie können auch kritische Vermögenswerte wie Domänencontroller, Managementplans, regulierte Anwendungen und andere sensible Systeme abgrenzen. Ein infizierter Endpunkt sollte keine offene Route zu diesen Ressourcen haben.

Teams können granulare Erlaubnisregeln, Standard-Ablehnungsrichtlinien und schnelle Quarantäne verwenden, um den Explosionsradius zu steuern. Anschließend können sie die Abhängigkeitskarte nutzen, um die Richtlinien zunächst auf die wichtigsten Arbeitslasten herauszurichten.

Das Ziel ist nicht, jede IP-Adresse vorherzusagen, die der Angreifer als nächstes verwenden wird. Es soll sicherstellen, dass ein kompromittiertes System keine Verbindung in einen breiteren Zugang verwandeln kann.

Wie Srivastava es ausdrückte: "Segmentierung wird unabhängig davon steuern, was diese schnelle C2-Infrastruktur als Nächstes tun wird."

Schneller Fluss hält Angreifer verbunden. Illumio verhindert, dass sie sich ausbreiten.

Planen Sie eine Demo zur Eindämmung von Sicherheitsverletzungen , um zu sehen, wie Illumio Sicherheitsteams die Transparenz bietet, um verdächtiges Arbeitslastverhalten zu erkennen, und die Segmentierung, um seitliche Bewegungen zu verhindern, bevor es zu einem Bruch wird.