Malvertising: Die gefälschte Download-Seite hinter der Suchanzeige

Woran erkennst du sie?

• Der Einstieg ist die eigene, bewusste Suche: Betroffene tippen aus eigenem Antrieb den Namen einer legitimen, verbreiteten Software in die Suchmaschine — es gibt kein unaufgefordertes Popup, keine Mail und keinen Anruf, der die Situation ausgelöst hätte
• Der Treffer ganz oben ist eine bezahlte Anzeige, erkennbar nur an einem kleinen Hinweis wie „Gesponsert“ oder „Anzeige“; Anzeigen stehen inzwischen vor den organischen Treffern und sind von ihnen zunehmend schlecht zu unterscheiden
• Die Inhalte hinter Suchanzeigen werden von den Suchmaschinen in der Regel nur oberflächlich geprüft — auch unseriöse Anbieter können sich dahinter verbergen
• Die Zielseite bildet den Auftritt der gesuchten Marke bis ins Detail nach: Logo, Farben, Schriftbild und Seitenaufbau stimmen, teils wird sogar ein gültiges Zertifikat eingesetzt, sodass das Schloss-Symbol im Browser Sicherheit suggeriert
• Vorgetäuscht wird ein Grund, warum der normale Weg gerade nicht funktioniert: eine angebliche Störung, eine Wartung oder ein zwingend nötiges Update — genau das erklärt, weshalb nicht die offizielle Downloadseite genutzt werden soll
• Weitergeleitet wird auf eine „Alternativseite“, einen „Spiegelserver“ oder einen externen Downloadlink statt auf die Herstellerseite; die Internetadresse enthält dabei Tippfehler, Zusatzwörter oder eine unerwartete Endung
• Heruntergeladen wird eine ausführbare Installationsdatei, deren Name und Symbol exakt dem echten Produkt entsprechen; die Schadkomponente ist darin versteckt und wird beim Installieren vom Opfer selbst gestartet
• Dieselbe Anzeigenlogik wird auch über automatisch ausgespielte Werbeflächen auf ansonsten seriösen Webseiten genutzt, sodass die Weiterleitung nicht zwingend aus der Suchmaschine kommen muss
• Abgrenzung zu den benachbarten Einträgen: Bei scareware-fake-virenwarnung-browser öffnet sich ungefragt ein Popup mit Countdown auf einer gerade besuchten Seite; rogueware-gefaelschtes-virenschutzprogramm beschreibt ein bereits installiertes Fake-Programm; fake-hotline-google-suche läuft ebenfalls über Suchanzeigen, führt aber zu einer Telefonnummer — hier ist das Ziel ein Download

Typischer Ablauf

1. Kriminelle buchen bezahlte Suchanzeigen auf den Namen einer weit verbreiteten Software oder bringen eine präparierte Seite mit Suchmaschinenoptimierung nach vorne — sie nutzen aus, dass Suchende den obersten Treffern Seriosität zuschreiben
2. Die Nutzerin oder der Nutzer sucht den Softwarenamen, um das Programm herunterzuladen oder zu aktualisieren, und klickt auf einen der obersten Treffer
3. Es öffnet sich eine nachgebaute Seite im Look der gesuchten Marke, die eine Störung, eine Wartung oder ein dringend nötiges Update meldet
4. Aufgefordert wird, den Download über eine angegebene Alternativseite auszuführen, weil der reguläre Weg angeblich gerade nicht zur Verfügung steht
5. Statt der gesuchten Anwendung wird ein Schadprogramm heruntergeladen; die Installation startet die Nutzerin oder der Nutzer selbst, Sicherheitswarnungen von Browser oder Betriebssystem werden dabei als bekanntes Problem abgetan
6. Im Hintergrund beginnt die Schadsoftware zu arbeiten: Sie kann Tastatureingaben und im Browser gespeicherte Zugangsdaten abgreifen, Online-Banking-Daten manipulieren, weitere Schadprogramme nachladen oder das Gerät in ein Botnetz einbinden
7. Weil die eigentlich gewünschte Funktion oft trotzdem bereitsteht, bleibt die Infektion lange unbemerkt und fällt erst durch übernommene Konten oder unberechtigte Abbuchungen auf

Typische Formulierungen der Täter

Sinngemäß wiedergegeben, keine wörtlichen Originalzitate.

• Im Suchergebnis: ein Treffer mit dem exakten Produktnamen als Titel, darüber nur der kleine Hinweis „Gesponsert“; die angezeigte Adresse ähnelt der echten, weicht aber in einem Wort oder in der Endung ab
• Auf der Zielseite: „Es liegt derzeit eine technische Störung vor. Bitte laden Sie die Anwendung über unseren alternativen Downloadserver herunter.“
• Alternative Aufmachung: „Ihre Version wird nicht mehr unterstützt. Installieren Sie das erforderliche Update, um den Dienst weiter nutzen zu können.“
• Nach dem Klick startet der Download einer Installationsdatei, deren Name exakt dem Produktnamen entspricht — der Browser fragt lediglich, ob die Datei behalten werden soll
• Beim Ausführen meldet das Betriebssystem einen unbekannten Herausgeber; auf der Seite steht dazu vorsorglich: „Diese Warnung können Sie ignorieren.“