Malware wird effektiv über große Werbe-Netzwerke verteilt

Seit einiger Zeit bringen Kriminelle mit einer umfangreichen Werbekampagne Malware auf zahlreiche Rechner. Sie missbrauchen dafür verschiedene große Anzeigen-Netzwerke, wie sie beispielsweise auf Amazon, Yahoo und YouTube eingesetzt werden. Analysiert wurde das Vorgehen von Sicherheits-Forschern des Netzwerkausrüsters Cisco, die der Kapagne den Namen "Kyle and Stan" gaben. Dies beruht auf den Domains, auf die die Kriminellen ihre Opfer locken. Diese wechseln ständig, ähneln in verschiedenen Fällen aber Adressen wie "stan.mxp2099.com" oder "kyle.mxp2038.com". Insgesamt wurden inzwischen rund 700 Domains identifiziert, die hier eingesetzt werden.

Da sich die Malware-Kampagne auf ein recht rudimentäres Vorgehen stützt, ist sie nur relativ schwer zu unterbinden. Denn die großen Werbenetzwerke arbeiten weitgehend automatisiert. Bei den großen Anbietern ist es keineswegs so, dass hier noch in größerem Umfang Banner-Plätze von Verkäufern einzeln vergeben werden. Statt dessen kann sich jeder über ein Web-Interface selbst einbuchen, angegeben wird der Text, ein Link, wieviel man auszugeben bereit ist und welche Zielgruppe erreicht werden soll.

Sicherheits-Systeme sorgen hier dafür, dass nicht direkt Malware eingeschleust wird. Daher erfolgen zumindest keine Drive-by-Infektionen, bei denen Sicherheitslücken in Browsern oder Erweiterungen ausgenutzt werden. Statt dessen wird versucht, die Anwender zum Klick auf den angegeben Link zu animieren. Dies führt sie zum Download einer harmlos erscheinenden Software, wie beispielsweise einem Media-Player, in den dann aber die Schadroutinen eingebettet sind. Da den Nutzern hier Programme angeboten werden können, die zu ihren Systemen passen, richtet sich die Kampagne parallel gegen Windows- und Mac-Nutzer.

Der Weg, den die Kriminellen hier wählen, erfordert einige Investitionen in die Schaltung der Anzeigen. Da die Restposten hier aber für nur wenige Cent weggehen, die ohnehin nur bei einem erfolgten Klick fällig werden, halten sich die Kosten durchaus in Grenzen. Ist die Malware erst einmal auf einem Rechner angekommen, versucht sie sich mit verschiedenen Methoden vor einer Entdeckung zu schützen. Aufgrund des Vorgehens sehen die Forscher keinen einfachen Ansatz, den Malware-Vertrieb zu unterbinden, da automatische Filter und Blacklists hier keinen Erfolg versprechen. Im Endeffekt, so hieß es, wird wohl nur die Enttarnung und Festnahme der Hintermänner helfen.