scareware: Angreifer nutzen munter die Suchmaschinenoptimierung

Anti-Virus-Werbung mit URL-Weiterleitungen gaukeln dem Nutzer oft vor, sie würden der Gefahrenabwehr dienen, aber hinter mindestens einem dieser Anbieter steckt ein Malware-Blackhat, der diese Dienste trickreich ausnutzt: Der weitergeleitete Seitenbesucher wird nicht auf die Website gelinkt, die er ansteuern will, sondern landet an einem Spyware infizierten Ort. Wie jetzt erst bekannt wurde, haben die noch unbekannten Angreifer, auch die Suchmaschinenoptimierung dazu genutzt, ihre verseuchte Weiterleitung bei Google höher listen zu lassen.

"Bei Scareware handelt es sich um Software, welche darauf ausgelegt ist, den Benutzer zu verunsichern oder zu verängstigen. Der Begriff ist ein englisches Kofferwort aus scare (Schrecken) und Software. Es handelt sich um eine automatisierte Form des Social Engineering. Fällt das Opfer auf den Trick herein und glaubt sich bedroht, so wird ihm häufig gegen Bezahlung eine Beseitigung der nicht vorhandenen Gefahr angeboten. In anderen Fällen soll das Opfer durch den Glauben an einen erfolgreichen Angriff zu Handlungen verleitet werden, welche den tatsächlichen Angriff erst ermöglichen." (Zitat Wikipedia)

Weitere Infos siehe auch hier.

Laut der FTC (Federal Trade Commission der USA), die den Schutz der Amerikanischen Konsumenten im Banner führt, sollen bis zu einer Million Amerikaner von solcher Software bereits ausgetrickst worden sein. Die FTC führt auch Beispiele solcher Software an: Antivirus XP, DriveCleaner, und WinFixer.

Ein signifikanter Teil des Problems ist, dass viele Unternehmen und Webseiten Weiterleitungen munter nutzen. Um den eingehenden Datenverkehr zu regeln, wird unabhängig von woher die URL kommt weitergeleitet. Wenn MySpace oder Microsoft darüber informieren, dass man umgeleitet wird, also deren Website verlässt, wird natürlich nicht geprüft wohin die Reise geht.

Dieser Mangel an Sicherheit wird nun zu einem Problem. Laut Sicherheitsforscher Gary Warner, kann ein Angreifer zunächst eine Reihe von infizierten Links legen, z.B. in Form von Posts in Blogs oder in den Kommentaren, in Gästebüchern oder in Foren. Wenn diese Links auf prominente Webseiten verweisen, die bereits einen hohen Google-Page-Rank haben, so können auch die falschen Posts (und vor allem die darin enthaltenen Links) an eine höhere Stelle im Page-Ranking wandern.

Durch die Verwendung einer beliebten Reihe von Keywords (z.B. World of Warcraft) und das Verknüpfen mit z.B. einer Weiterleitung auf eine Seite von IBM, können die Spammer eine raffiniert konstruierte Falle aufstellen. Wenn alles gut geht, kann der fehlgeleitete Suchmaschinen-Traffic zu fließen beginnen und landet auf der Domain, die sich der Blackhat zu diesem Zweck eingerichtet hat.

Die offene Weiterleitung auf Seiten von großen Unternehmen oder Organisationen sind nicht nur wertvoll für den Google-Rang, es wird auch damit gespielt die vertrauenswürdigen Internetseiten als Köder zu missbrauchen. Im oben genannten Beispiel könnte es dem Benutzer zwar seltsam vorkommen, dass ein World-of-Warcraft-Link offenbar mit einer IBM-Website verknüpft ist, aber er denkt sich vielleicht: Hey, was soll´s es ist IBM.

Gary Warner hat weitere Informationen darüber, wie der Angriff aussieht, wenn man die verseuchte Website schließlich angesteuert hat. Es funktioniert aber im Grunde nach der alten Masche der Scareware-Taktik. Das System versucht einem davon zu überzeugen, dass man sich virusinfiziert hat und dass man ein neues Antivirus-Produkt braucht. Ein Klick auf diese Aufforderung und Zack, schon ist es passiert. Nun ist man wirklich und nicht nur vorgetäuscht das Opfer einer Attacke geworden.

Die FTC wird es schwer haben, diese Taktik an der Ausbreitung zu hindern. Eine andere Möglichkeit wäre es, wenn Weiterleitungen nur von verifizierten Websites akzeptiert würden.

(via ars technica Danke!)

News Redaktion am Donnerstag, 25.12.2008 13:19 Uhr

tags Tags: google scareware microsoft malware myspace antivirus federal trade commission drivecleaner gary warner winfixer blackhat

Weitere interessante News

1 Reaktionen zu dieser Nachricht

Dexter am 25.12.2008 16:27:41

Kann mir das mal bitte jemand auf deutsch übersetzen? Edit: Ok, gerade den Originalartikel gelesen, der macht mich trotz meiner schlechten Englischkenntnisse schlauer. Kurzfassung der Problematik: auf der Beispielseite xyz.com liegt ein Script, welches auf eine in der Adresse enthaltene Url weite ...
gullinews am 25.12.2008 13:11:26

Anti-Virus-Werbung mit URL-Weiterleitungen gaukeln dem Nutzer oft vor, sie würden der Gefahrenabwehr dienen, aber hinter mindestens einem dieser Anbieter steckt ein Malware-Blackhat, der diese Dienste trickreich ausnutzt: Der weitergeleitete Seitenbesucher wird nicht auf die Website gelinkt, die ...

weitere Kommentare lesen Nachricht kommentieren

Fotostrecke

News [Kurioses]

Apple filterte den Begriff "Jailbreak" im iTunes Store

Lars Sobiraj am 20.05.2012, 16:54 Uhr

Im US-amerikanischen iTunes Store wurden statt dem Begriff "Jailbreak" lediglich Sternchen zwischen dem Anfangs- und Endbuchstaben angezeigt. Davon waren letztlich alle Kategorien betroffen. So wurden neben Apps auch Klingeltöne, Podcasts, Musikstücke, ganze Alben und eBooks zensiert angezeigt. Laut den Untersuchungen von Shoutpedia waren mehrere Monate lang 95% aller Begriffe davon betroffen.

mehr mehr lesen...