Automatisierte OWASP-Bedrohungen für Webanwendungen

Im Folgenden finden Sie die Liste der automatisierten Bedrohungen für Webanwendungen, die vom OWASP-Projekt identifiziert und zusammengestellt wurden.

1. Konto-Aggregation. Das Ziel dieser Angriffe besteht darin, Anmeldedaten für Benutzerkonten von mehreren Websites oder Plattformen zu sammeln, oft für böswillige Zwecke wie Identitätsdiebstahl, Finanzbetrug oder unberechtigten Zugriff auf vertrauliche Daten. Konto-Aggregationen werden mithilfe von automatisierten Bots oder Skripten durchgeführt, die menschliche Interaktionen mit verschiedenen Webdiensten oder Anwendungen nachahmen. 
   
2. Erstellung eines Benutzerkontos. Bei diesen Angriffen nutzen böswillige Akteure automatisierte Skripte oder Bots, um eine große Anzahl gefälschter Benutzerkonten auf einer Plattform oder Website zu erstellen. Angreifer können diese gefälschten Konten verwenden, um die Plattform mit Spam-Inhalten, Werbung oder schädlichen Links zu fluten, was zu Störungen und Ärgernissen für legitime Benutzer führt. Gefälschte Konten können auch dazu verwendet werden, die öffentliche Stimmung und Erfahrungen/Bewertungen auf einer Website oder Anwendung zu manipulieren oder sich als echte Benutzer oder Personen des öffentlichen Lebens auszugeben, um Fehlinformationen zu verbreiten oder Reputationsschäden zu verursachen. Diese Bedrohung kann auch zu Betrug bei der Eröffnung neuer Konten führen, was auch als „First-Party Fraud“ bezeichnet wird, und hat Auswirkungen auf die gesamte digitale Welt.
3. Anzeigenbetrug. Diese Bedrohung wird auch als Klickbetrug bezeichnet und beinhaltet irreführende Aktivitäten, um die Anzahl der Interaktionen mit Online-Werbung wie Klicks oder Impressionen zu verfälschen. Diese betrügerischen Handlungen erfolgen in der Regel durch automatisierte Bots oder Skripte und zielen darauf ab, Einnahmen für die Betrüger zu generieren oder die Kennzahlen der Werbeleistung zu manipulieren.
4. CAPTCHA-Umgehung. Diese Bedrohung nutzt automatisierte Techniken, um CAPTCHA-Aufgaben zu umgehen oder zu überlisten, und ist von wesentlicher Bedeutung für die Sicherheit von Webanwendungen, da böswillige Akteure auf diese Weise eine gebräuchliche Verteidigung gegen Bots umgehen können. CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart) ist eine Sicherheitskontrolle, die verwendet wird, um zwischen menschlichen Benutzern und automatisierten Bots oder Skripten zu unterscheiden. Angreifer können Bilderkennungssoftware einsetzen, um visuelle CAPTCHAs zu lösen, und maschinelle Lernalgorithmen anwenden, um akustische und auf Rätseln basierende CAPTCHAs zu lösen. In einigen Fällen setzen Angreifer menschliche CAPTCHA-Löser ein, die CAPTCHAs manuell in Echtzeit lösen. Auch wenn CAPTCHA eine häufig verwendete Sicherheitskontrolle darstellt, kann sie umgangen werden und zu Frustration für legitime Benutzer führen, was Transaktions- und Umsatzeinbußen zur Folge haben kann.
5. Knacken von Karten. Hierbei handelt es sich um eine automatisierte Art von Cyberkriminalität, bei der die Sicherheitsmerkmale einer Zahlungskarte wie Kartennummer, Ablaufdatum und Sicherheitscode (CVV/CVC) erraten oder geknackt werden. Das Knacken von Karten erfolgt in der Regel durch Brute-Force-Angriffe, bei denen automatisierte Bots oder Skripte systematisch zahlreiche Kombinationen von Kartendetails ausprobieren, bis sie eine Kombination finden, die mit einer gültigen Karte übereinstimmt. Sobald gültige Kartendaten identifiziert wurden, können diese für verschiedene illegale Aktivitäten verwendet werden, z. B. für nicht autorisierte Einkäufe oder Finanzbetrug. Der Angreifer kann einige noch nicht aufgeladene physische Geschenkgutscheine aus einem Geschäft mitnehmen, um festzustellen, ob der Aussteller fortlaufende Nummerierungsmuster verwendet. 
6. Carding. Diese Form der automatisierten Cyberkriminalität beinhaltet die unberechtigte Verwendung gestohlener Zahlungskarteninformationen, um betrügerische Transaktionen oder Einkäufe zu tätigen. Kriminelle verwenden automatisierte Bots oder Skripte, um die gestohlenen Kredit- oder Debitkartendaten auf verschiedenen Websites oder Anwendungen zu testen und so diejenigen zu identifizieren, welche die gestohlenen Daten akzeptieren. Sobald die automatisierten Bots anfällige Ziele identifiziert haben, verwenden sie die gestohlenen Karteninformationen, um betrügerische Einkäufe zu tätigen, oft für hochwertige Waren oder digitale Dienstleistungen, oder um den verfügbaren Wert auf andere Konten zu übertragen.  
7. Auszahlung. Diese Art der Bedrohung bezieht sich auf die Umwandlung von illiquiden Vermögenswerten oder virtueller Währung in reales Geld oder materielle Güter. Dabei folgt diese Bedrohung häufig auf erfolgreiche Angriffe, die zum Diebstahl wertvoller Vermögenswerte von Online-Plattformen oder -Konten führen. Wenn Angreifer die Kontrolle über Benutzerkonten in Webanwendungen oder auf Online-Plattformen übernehmen, können sie diese Konten zur Auszahlung von Vermögenswerten des Kontoinhabers wie Geschenkkarten, Treuepunkten oder virtueller Währung verwenden. Bots werden häufig zur Erleichterung der Auszahlung eingesetzt, da Cyberkriminelle diese betrügerischen Aktivitäten so in großem Umfang und effizient durchführen können.
8. Credential-Cracking. Diese Bedrohung umfasst eine Art von Brute-Force-Angriff, der auf die Anmeldemechanismen von Webanwendungen wie Anmeldeseiten, Benutzerkontenportale oder Authentifizierungs-APIs abzielt. Der Angreifer nutzt die Automatisierung, um systematisch gängige Kombinationen von Benutzernamen und Passwörtern auszuprobieren, bis er eine Kombination findet, welche den unberechtigten Zugriff auf ein Benutzerkonto ermöglicht. So kann der Angreifer böswillige Aktivitäten wie Identitätsdiebstahl, Finanzbetrug oder andere nicht autorisierte Handlungen durchführen.  
9. Credential Stuffing. Eine der häufigsten Formen der Bedrohung für Webanwendungen ist das Credential Stuffing. Dabei erhalten Cyberkriminelle Listen von Benutzername/Passwort-Paaren, die häufig im Dark Web erworben werden, und nutzen diese Kombinationen anschließend, um Zugriff auf andere anmeldegeschützte Benutzerkonten zu erhalten. Da viele Personen Benutzernamen und Passwörter wiederverwenden, können sich diese Angriffe (auch als Account Takeover bezeichnet) als bemerkenswert effektiv erweisen und es Kriminellen ermöglichen, die Kontrolle über Benutzerkonten zu übernehmen, um Vermögenswerte zu stehlen oder Betrug durch Dritte zu begehen.
10. Denial-of-Inventory. Zu dieser Art des Angriffs kommt es, wenn Angreifer E-Commerce-Waren aus dem Verkehr ziehen, indem sie mithilfe von Bots eine große Anzahl an Artikeln in einen Warenkorb legen, ohne zur Kasse zu gehen und diese Artikel zu kaufen. Diese Aktion hindert andere Käufer daran, die Ware zu kaufen, da das System einen Leerbestand registriert. Dadurch entgeht dem Käufer außerdem auch der Verkauf, da der Kauf nie abgeschlossen wird. Eine Variation dieser automatisierten Bedrohung besteht in der Nutzung von Bots, um Reservierungen für Hotelzimmer, Tische im Restaurant oder Plätze im Flugzeug vorzunehmen, ohne die Zahlung abzuschließen. 
11. Denial-of-Service (DoS) und Distributed Denial-of-Service (DDoS). Diese Angriffe stellen böswillige Versuche dar, die ordnungsgemäße Funktion eines Zielsystems oder -netzwerks zu stören, sodass es für legitime Benutzer nicht mehr verfügbar ist. Bei einem DDoS-Angriff überlastet der Angreifer das Ziel mit einem massiven Volumen an Datenverkehr oder Ressourcenanfragen, was zu einer Überlastung des Servers und einem Ausfall des Dienstes führt. Diese Angriffe können mit verschiedenen Methoden durchgeführt werden, wie zum Beispiel das Fluten des Ziels mit Paketen oder das Senden speziell gestalteter Anfragen. DoS- und DDoS-Angriffe ähneln sich, wobei DDoS-Angriffe mehrere Quellen umfassen, die in der Regel über Botnets koordiniert werden. Bei einem Botnet handelt es sich um ein Netzwerk kompromittierter Computer oder Geräte unter der Kontrolle des Angreifers. Der Angreifer koordiniert diese Anzahl an Quellen, um einen gleichzeitigen Angriff auf das Ziel zu starten. Durch die kombinierte Nutzung der Botnet-Ressourcen kann der Angreifer eine enorme Menge an Datenverkehr oder Anfragen generieren, welche die Kapazität des Zielsystems überlasten und einen Dienstausfall verursachen. Diese Angriffe können Firewall-Statustabellen, CPU-Ressourcen und die Bandbreite der Infrastruktur erschöpfen. Ein DoS-Angriff kann mit einer einzigen, gut gestalteten Anfrage an eine Webanwendung ausgeführt werden, z. B. einer komplexen SQL-Abfrage, die zu einer hohen CPU- und Leistungsbeeinträchtigung führt.
12. Expediting. Bei dieser Bedrohung werden automatisierte Bots oder Skripte verwendet, um schnell eine Reihe von Anwendungsprozessen abzuschließen und die üblichen Einschränkungen oder Überprüfungen zu umgehen. Durch die Automatisierung von Prozessen können sich Angreifer oder böswillige Benutzer einen unfairen Vorteil gegenüber anderen legitimen Benutzern verschaffen. Diese Aktivität ist oft mit Täuschungen verbunden und kann zu Verlusten für andere Parteien führen.  
13. Fingerprinting. Böswillige Akteure nutzen Fingerprinting als eine Technik zum Sammeln von Informationen, um einzigartige Merkmale oder Attribute des Webbrowsers oder Geräts eines Benutzers zu erfassen sowie zu analysieren und so einen unverwechselbaren „Fingerabdruck“ zu erstellen. Auf diese Weise können böswillige Akteure einzelne Benutzer auf verschiedenen Websites und Online-Plattformen identifizieren und verfolgen oder ein Profil einer Anwendung erstellen und diese anschließend angreifen.
14. Footprinting. Dabei handelt es sich nicht um eine automatisierte Bedrohung an sich, sondern um die Vorstufe eines Hacking-Prozesses oder einer Erkundung. Footprinting beinhaltet die Verwendung von Bots oder Skripten, um Informationen über die Zusammensetzung, Konfiguration und Sicherheitsmechanismen einer ins Visier genommenen Webanwendung zu sammeln, sodass Angreifer nachfolgende Angriffe besser planen können, z. B. das Starten gezielter Exploits, um unberechtigten Zugriff zu erhalten oder bestimmte Schwachstellen auszunutzen. 
15. Scalping oder Horten von Beständen. Dabei handelt es sich um eine Form der Kaufautomatisierung, bei der Angreifer Bots verwenden, um große Mengen an Waren oder Dienstleistungen mit begrenztem Bestand zu kaufen, sobald sie online angeboten werden (denken Sie an Konzerttickets und Sneaker in begrenzter Auflage). Durch den sofortigen Abschluss des Kaufvorgangs erlangen Kriminelle die Kontrolle über wertvolle Bestände, die in der Regel auf Sekundärmärkten mit einem erheblichen Aufschlag weiterverkauft werden, was zu einer künstlichen Verknappung, zu Denial-of-Inventory-Problemen und zu Frustration bei den Verbrauchern führt.
16. Scraping. Bei Scraping, das nicht von Natur aus böswillig ist, handelt es sich um den automatisierten Prozess des Extrahierens von Daten von Websites oder Webanwendungen. Scraping wird zu einer automatisierten Bedrohung, wenn es für unbefugte oder böswillige Zwecke verwendet wird, z. B. wenn Bots zum Erfassen von Inhalten auf einer Ziel-Website verwendet werden, um diese Daten zu analysieren, sie wiederzuverwenden oder um Preismanipulationen vorzunehmen, insbesondere auf wettbewerbsintensiven Märkten. Außerdem kann das Scraping die Leistung der Website beeinträchtigen und legitime Benutzer daran hindern, auf eine Website zuzugreifen. 
17. Skewing. Zu dieser Bedrohung kommt es, wenn böswillige Akteure wiederholt Inhalte in einer Webanwendung anklicken, anfordern oder übermitteln, was sich bewusst auf anwendungsbasierte Metriken wie Zähler, Likes, Impressionen, Umfrageergebnisse, Häufigkeit oder Raten auswirkt. Skewing kann mithilfe automatisierter Bots durchgeführt werden, die menschliches Verhalten nachahmen, um künstliche Interaktionen mit der Webanwendung zu generieren. Das Ziel von Skewing besteht darin, die durch anwendungsbasierte Metriken erzeugten Daten zu manipulieren und zu verzerren, was zu ungenauen oder irreführenden Ergebnissen führt. 
18. Sniping. Hierbei handelt es sich um eine Art betrügerischer Aktivität, bei der automatisierte Bots oder Skripte verwendet werden, um einen Wettbewerbsvorteil bei Online-Auktionen, Verkäufen oder Reservierungssystemen zu erzielen. Der Begriff „Sniping“ wird häufig im Zusammenhang mit zeitlich festgelegten Ereignissen oder Artikeln mit begrenzter Verfügbarkeit verwendet, bei denen Geschwindigkeit und präzises Timing eine entscheidende Rolle spielen, sodass einem anderen Benutzer nicht genügend Zeit bleibt, um ebenfalls zu bieten oder ein Angebot abzugeben. Sniping ermöglicht es Angreifern, einen Wettbewerbsvorteil gegenüber menschlichen Benutzern zu erlangen, die manuell am Ereignis teilnehmen, da Bots Aktionen schneller und genauer ausführen können. 
19. Spamming. Diese Bedrohung bezieht sich auf schädliche Inhalte oder fragwürdige Informationen, die von Bots verteilt werden und in öffentlichen oder privaten Inhalten, Datenbanken oder Benutzernachrichten in Webanwendungen erscheinen. Zu den bösartigen Inhalten können Malware, IFRAME-Popups, Fotos, Videos, Werbung und Tracking-/Überwachungscodes gehören. Angreifer verwenden Spamming auch, um gefälschte Kommentare in Foren und anderen zur Kommunikation genutzten Anwendungen zu hinterlassen und so Informationen zu fälschen oder Malware zu verteilen. 
20. Knacken von Token. Dieser automatisierte Angriff ist das Ergebnis von Kriminellen, die eine massenhafte Aufzählung von Gutscheinnummern, Gutscheincodes und Rabatt-Token durchführen. Bei dem erhaltenen Vorteil kann es sich um einen Rabatt, eine Barauszahlung, eine Gutschrift oder den Zugang zu einem Spezialangebot handeln.
21. Schwachstellen-Scans. Diese Bedrohung bezieht sich auf die Verwendung automatisierter Tools oder Skripte, um Schwachstellen in Webanwendungen zu identifizieren und auszunutzen. Im Gegensatz zu legitimen Schwachstellen-Scans, die Schwachstellen zur Verbesserung der Sicherheit identifizieren, werden Schwachstellen-Scans als automatisierte Bedrohung mit böswilliger Absicht durchgeführt, um die Sicherheit der Anwendung zu gefährden. Kriminelle verwenden automatisierte Scan-Tools oder -Skripte, um im Internet exponierte Anwendungen systematisch zu scannen, in der Regel unmittelbar nach der Aufdeckung einer Schwachstelle. Sobald Schwachstellen identifiziert wurden, versuchen Kriminelle, sie auszunutzen, um unberechtigten Zugriff auf die Anwendung, vertrauliche Daten oder die zugrunde liegende Serverinfrastruktur zu erhalten.