Fast Flux: Der alte Trick, der immer noch moderne Cyberangriffe antreibt.

Cybercriminals don’t always need new techniques. Sometimes, they simply find new ways to use old ones. For nearly two decades, “fast flux” has helped attackers keep phishing sites, malware infrastructure, and command-and-control systems online. Instead of tying a malicious domain to a single fixed server, attackers route traffic through a constantly changing pool of compromised devices.

Dazu können ein Router zu Hause, ein Büro-Gateway, ein Modem, ein Computer oder ein anderes internetfähiges Gerät gehören, dessen Besitzer möglicherweise nicht weiß, dass es infiziert ist. Jedes Gerät fungiert kurzzeitig als Relais und leitet den Datenverkehr an die reale Infrastruktur des Angreifers weiter, bevor ein anderes Gerät dessen Platz einnimmt. Wenn Verteidiger eine Adresse blockieren, zeigt die Domain einfach woanders hin.

Die Schnellfluss-Infrastruktur bewegt sich ständig, was es erschwert, sie zu verfolgen, zu blockieren und auszuschalten.

Schneller Fluss zeigt sich bei aktuellen Cyberangriffen

In June 2026, researchers reported that the Silent Ransom Group was using a fast flux network to hide infrastructure supporting its attacks across the legal, financial, and professional services sectors.

Die Knoten verteilten sich auf 18 Länder und 22 Internetdienstanbieter. Sie rotierten die DNS-Einträge für zwei mit der Gruppe verknüpfte Domains, wodurch die Systeme hinter diesen Domains schwerer zu finden und zu blockieren waren.

The group, also known as Luna Moth, Chatty Spider, and UNC3753, gains access through social engineering. Attackers pose as IT staff, call employees, launch screen-sharing sessions, or install remote-access tools.

Die FBI has also warned that group members may enter offices and use storage devices to steal data or install malware. Once inside the network, the group moves laterally, steals sensitive data, and threatens to publish it.

Gebaut, um dem Entfernen zu widerstehen

‍‍In April 2025, the NSA, CISA, FBI, and international partners warned that fast flux posed a serious national security threat. Criminal and state-backed groups use it to hide the systems behind phishing, malware, spying, and command-and-control activity.

Bulletproof hosting providers also sell infrastructure to cybercriminals and ignore efforts to shut it down. Fast flux helps them keep malicious services online by moving traffic across a changing network of systems.

Cyberangriffe am Leben erhalten

Fast Flux hat Bestand gehabt, weil es ein grundlegendes Angreiferproblem löst: wie man verbunden bleibt, wenn Verteidiger beginnen, die eigene Infrastruktur zu blockieren.

"Es ist eine Widerstandsfähigkeitsschicht", sagte Rachna Srivastava, leitende Produktmarketingleiterin bei Illumio. "Es ist ein Langschwanz-Angriff, bei dem es Monate später weiterhin sein Zuhause nennen wird."

That resilience has made fast flux useful across phishing, malware, ransomware, cybercrime infrastructure, and state-linked espionage.

Schneller Fluss durch die Jahre

• ‍2007 — Rock Phish
  Rock Phish targeted bank customers with fake websites. The sites stole login details. Fast flux moved them across infected computers, which helped them stay online.

• ‍2007–2008 — Storm Worm
  Storm Worm spread through spam emails with fake news headlines and greeting cards. The links installed malware that pulled victims into one of the largest botnets of its era. Fast flux rotated the sites' IP addresses faster than blocklists could keep up.

• ‍2009–2016 — Avalanche
  Avalanche supported malware, phishing, spam, and bank theft in more than 180 countries. Fast flux hid the network behind changing systems. Its shutdown involved 30 countries and more than 800,000 domains.

• ‍2020–2022 — Nefilim
  Nefilim targeted large companies. It stole data, locked files, and demanded payment. Fast flux helped hide the systems behind the attacks.

• ‍2021–2022 — Hive
  Hive hit more than 1,500 victims in over 80 countries. Targets included hospitals, schools, banks, and critical infrastructure. Fast flux helped keep parts of its network hidden.

• ‍2022-2023 — Gamaredon
  Gamaredon used spearphishing and malware to target Ukrainian organizations, while fast flux DNS helped hide and protect its command-and-control infrastructure by rapidly rotating IP addresses.

• ‍2024 — Unattributed Criminal Network
  Researchers found 193 domains tied to 2,960 IP addresses. The network supported malware, harmful websites, and command-and-control traffic.

• ‍2025 — Criminal and State-Linked Actors
  U.S. and allied agencies warned that criminal and state-backed groups were using fast flux. It helped hide phishing, malware, spying, and command-and-control systems.

• ‍2026 — Silent Ransom Group
  Silent Ransom Group targeted law firms and companies in finance, health care, insurance, and hospitality. Attackers posed as IT staff, stole data, and demanded payment. Fast flux hid the systems behind the attacks.

Wie man schnellen Fluss erkennt

Schneller Fluss ist schwer zu stoppen, weil sich die Infrastruktur ständig verändert. Jede IP-Adresse mag wie ein neues Ereignis aussehen, aber die eigentliche Bedrohung ist das Muster hinter diesen Änderungen.

Srivastava warnte, dass Verteidiger dieses Muster nicht von Hand untersuchen können.

"Wenn du das manuell machst, wirst du überholt", sagte sie.

Es gibt eine Reihe von Anzeichen, die auf eine schnelle Fluxaktivität hinweisen können:

• Sehr kurze DNS-Time-to-Live-Werte
• Wiederholte Anfragen an dieselbe Domäne
• Eine wachsende Anzahl nicht zusammenhängender IP-Adressen
• Große geografische Ausbreitung
•  Häufige Änderungen des Name-Servers
• Nicht übereinstimmendes Proxy- oder Zertifikatsverhalten

Keines dieser Signale beweist für sich genommen einen schnellen Fluss. Aber zusammen können sie zeigen, dass sich eine Domain so verhält, dass sie nicht zu typischen Traffic-Mustern passt.

Warum Sichtbarkeit wichtig ist

Sicherheitsteams müssen DNS-Aktivitäten mit Netzwerkflüssen, Endpunkten, Prozessen und Arbeitslasten verbinden. Sie müssen wissen, welcher Prozess die Domain angefordert hat, welche IP-Adressen zurückgekommen sind, welches System die Verbindung geöffnet hat und ob dieser Datenverkehr mit der normalen Abhängigkeitskarte der Arbeitslast übereinstimmt.

Ohne diesen Kontext jagen die Teams nur kurzlebigen Indikatoren hinterher. Damit können sie sehen, welche Arbeitslast mit verdächtiger Infrastruktur kommuniziert und was diese Arbeitslast als nächstes erreichen kann.

Sobald ein System kompromittiert ist, kann die Technik dem Angreifer helfen, immer wieder nach Hause zu rufen, Daten zu stehlen, Malware zu verbreiten oder nach einem weiteren Opfer zu suchen. Sie kann sich auch mit normalem Browserverkehr vermischen, sodass die Verbindung lange nach dem ersten Angriff aktiv bleibt.

Wie Segmentierung es stoppt

Segmentierung verhindert nicht, dass eine bösartige Domain über externe IP-Adressen hinweg rotiert. Es enthält das Risiko innerhalb der Umwelt. Teams können eine betroffene Arbeitslast isolieren, Ost-West-Verkehr einschränken und Wege blockieren, die keinen geschäftlichen Zweck haben.

Sie können auch kritische Vermögenswerte wie Domänencontroller, Managementplans, regulierte Anwendungen und andere sensible Systeme abgrenzen. Ein infizierter Endpunkt sollte keine offene Route zu diesen Ressourcen haben.

Teams können granulare Erlaubnisregeln, Standard-Ablehnungsrichtlinien und schnelle Quarantäne verwenden, um den Explosionsradius zu steuern. Anschließend können sie die Abhängigkeitskarte nutzen, um die Richtlinien zunächst auf die wichtigsten Arbeitslasten herauszurichten.

Das Ziel ist nicht, jede IP-Adresse vorherzusagen, die der Angreifer als nächstes verwenden wird. Es soll sicherstellen, dass ein kompromittiertes System keine Verbindung in einen breiteren Zugang verwandeln kann.

Wie Srivastava es ausdrückte: "Segmentierung wird unabhängig davon steuern, was diese schnelle C2-Infrastruktur als Nächstes tun wird."

Schneller Fluss hält Angreifer verbunden. Illumio verhindert, dass sie sich ausbreiten.

Schedule a breach containment demo to see how Illumio gives security teams the visibility to detect suspicious workload behavior and the segmentation to stop lateral movement before it becomes a breach.