Malvertising: Die dunkle Seite der Werbung

Ende Juni warnten die IT-Sicherheitsdienstleister Malwarebytes und Trend Micro vor Angriffen auf Internet-Nutzer: Website-Besucher wurden über bösartige Werbeanzeigen auf das "Greenflash Sundown Exploit Kit" umgeleitet. Ihr Rechner wurde mit einem Kryptowährungs-Miner infiziert.

Solche Angriffe auf Webnutzer über ­digitale Werbung werden als "Malvertising" bezeichnet. Die Wortneuschöpfung setzt sich aus "Malicious Advertising" zusammen, "malicious" heisst auf Deutsch "bösartig". IT-Sicherheitsanbieter berichten von mehreren Wegen, wie arglose ­Internet-Nutzer angegriffen werden.

Der Ablauf folgt einer gewissen Regelmässigkeit, beobachtet Peter Meyer, Projektmanager bei der Eyeo GmbH. Eyeo ist Anbieter eines Werbeblockers, den viele auch dazu einsetzen, um sich vor Malvertising zu schützen. "Zuerst legen die Täter bei ­einem Werbenetzwerk ein Profil an und bauen Reputation auf. Sobald sie das Vertrauen des Werbenetzwerks als seriöser Werbungtreibender gewonnen haben, schleusen sie Malware-Kampagnen ein. Selbst mit einem kleinen Betrag von vier oder fünf US-Dollar kann man so viel Schaden anrichten."

Im eingangs geschilderten Fall war ein kompromittierter Adserver das Einfallstor. Die Täter schleusen Schadcode auf den Adserver des Publishers. So gelingt es ­ihnen, Werbeanzeigen zu "vergiften". Die Folge: Nutzer, die die Werbung sehen oder darauf klicken, werden auf einen Server mit einem Exploit Kit umgeleitet.

Exploit Kits sind eine Sammlung von vorgefertigten Exploits. Das sind Programme, die ­automatisiert Sicherheitslücken aufspüren und ausnutzen. Das Exploit Kit durchsucht das Gerät des Nutzers systematisch nach bestimmten Schwachstellen. Wird beispielsweise ein ungepatchter Browser, eine nicht aktualisierte Anwendung oder ein veraltetes Betriebssystem entdeckt, lädt das Exploit Kit die Schadsoftware nach.

Helge Husemann, Channel Director DACH bei Malwarebytes, einem Anbieter zur Prävention und Behebung von Mal­ware-Bedrohungen, zählt auf, wie Nutzer durch Malvertising geschädigt werden: "Es muss nicht immer gleich ein Ransomware-Angriff sein, bei dem der Rechner verschlüsselt wird. Mit Malvertising können ein Botnetz aufgebaut oder über Phishing Zugangsdaten abgegriffen werden - oder eine Kryptomining-Software landet auf dem Rechner." Das alles sei mit einem geringen Einsatz möglich.

"Dynamische Werbemittel sind bei ­Cyberkriminellen sehr beliebt", weiss ­Husemann. Bei diesen Werbemitteln wird im Hintergrund Inhalt nachgeladen. "Das Schadpixel kommt eine Millisekunde später", erläutert er. Es ist nicht wahrnehmbar. Der Sicherheitsexperte rät Publishern und Adserver-Anbietern, genau zu prüfen, was im Hintergrund nachgeladen wird, wenn ein Werbemittel ausgeliefert wird.