Startseite > Office & Kommunikation > Malvertising im Aufwind

Anstieg bei gefährlicher Onlinewerbung

Malvertising im Aufwind

3. Februar 2015, 12:52 Uhr | Quelle: Palo Alto

Fortsetzung des Artikels von Teil 1

So funktioniert Malvertising

Der Angreifer stellt bei einem Ad-Publisher seinen Anzeigen-Programmcode und nennt den höchsten Preis, den für die Veröffentlichung seiner Werbeanzeige zahlen will – so wie legitime Anzeigenkunden. Der Ad-Publisher nutzt ein Ad-Netzwerk, um für Werbeflächen auf fremden Websites zu bieten. Das Angebot geht an den Meistbietenden. Dies ist ein automatischer Verkaufsprozess, der nur einige Millisekunden dauert. Die Preise betragen in der Regel weniger als einen US-Dollar. Der Code der vermeintlichen Anzeige wird dann auf der Website platziert.

Die Angreifer versuchen meist, sich einen „guten Ruf“ zu verschaffen, indem sie für ein paar Monate Anzeigen mit sauberem Code platzieren, bevor die Anzeigen mit Angriffscode versehen werden. Sobald dies geschieht, erzielt der Angriff eine breite Reichweite und es besteht die Möglichkeit, Hunderttausende von Benutzern zu infizieren und Einnahmen im sechsstelligen Bereich zu generieren – für eine anfängliche Investition, die nur einen Bruchteil davon beträgt. Die bösartige Werbeanzeige muss nur für ein paar Tage oder ein paar Stunden gebucht werden, bis der Angreifer seine Mission erfüllt hat und die Anzeige wieder herunternimmt vom Netz.

Damit die Branche dem Malvertising-Problem entschieden entgegentreten kann, wäre eine koordinierte Anstrengung von Werbenetzwerken und Publishern sowie mehr Druck von Ad-Hosting-Websites nötig. Eine solche Zusammenarbeit zwischen vielen Beteiligten ist schwer zu orchestrieren, zudem geht es um Gewinne. Da Werbenetzwerke von den Angreifern immer noch für Werbefläche bezahlt werden, besteht kein Interesse an einer schnellen Aufklärung. Die Angreifer mache sich diese Taktik zunutze, weil sie einfach ist und funktioniert. Malvertising ist gegenüber Spear-Phishing und Packet-Sniffing eine völlig andere, fast schon legitime Methode, weil es einen echten Geschäftsprozess nutzt, statt Malware mit großem Aufwand wie etwa Social Engineering in Stellung zu bringen.

„Die Zeiten, in denen Malware nur auf zwielichtigen Websites präsent war, sind vorbei. Cyber-Bedrohungen agieren heute in freier Wildbahn, versteckt auf echten Websites, denen wir vertrauen und die wir häufig besuchen. Die Angreifer arbeiten mit Methoden, die ehrliche Leute absichtlich geschaffen haben, um Geschäftspotenziale zu erschließen. Wir müssen daher unsere Anstrengungen, um Cyber-Werte zu schützen, anpassen. Angreifer gehen dazu über, Schwachstellen in alltäglichen Geschäftsprozessen für ihre unlauteren Zwecke zu nutzen“, erläutert Thorsten Henning von Palo Alto Networks.“

Palo Alto Networks setzt bereits auf verschiedene Maßnahmen, um Malvertising-Angriffe zu vereiteln:

Drive-by-Download-Schutz warnt die Benutzer, dass ein Download-Versuch stattfinden soll. Diesen muss der Benutzer entweder erlauben oder verweigern. Wenn ein Malvertisement versucht, das automatische Herunterladen von Malware zu starten, gibt dieser Mechanismus dem Benutzer die Möglichkeit hier einzugreifen, bevor etwas passiert.
File-Blocking-Profile schränken die Arten von herunterladbaren Dateien ein auf nur die Dateien, die erforderlich sind oder die der Benutzer erwartet.
Der Cloud-basierte Anti-Malware-Dienst WildFire von Palo Alto Networks sorgt für stets aktuellen Antivirus-Schutz gegen unbekannte Malware, unmittelbar nachdem sie von WildFire entdeckt wurde. Malvertisements, die versuchen, bekannte oder unbekannte Malware zu aktivieren, werden erkannt und abgewehrt.
URL-Filterung stoppt den Verkehr zu bekannten bösartigen oder nicht kategorisierten Websites. Wenn ein Malvertisment angeklickt wird, wird die entsprechende Webseite blockiert.
Selbst wenn der Download der Malware auf den PC erfolgreich war, verhindert Palo Alto Networks´ Abo-Dienst Traps die Installation der Malware.

„Sicherheit ist nicht etwas, das sich auf Netzwerkarchitektur und Programmierpraktiken beschränkt. Business-to-Business-Prozesse müssen auch sicherer werden. Alle Prozesse, die das Internet oder Intranet nutzen, müssen in die Liste möglicher Angriffsvektoren aufgenommen werden. Es empfiehlt sich dabei, sich in die Rolle des Hackers zu versetzen und zu überlegen, wie man vorgehen würde. Daraufhin gilt es Schutzmaßnahmen gegen diese potenziellen Angriffstaktiken aufzustellen“, so Thorsten Henning.