Browser-Hijacking beschreibt die Übernahme eines Webbrowsers durch kleine Programme, die dessen Einstellungen verändern und Nutzer dadurch auf fremde Websites, etwa Werbeseiten, umleiten, statt sie auf die gewünschte Seite zu führen.
Auf einen Blick
Neue Symbolleisten oder Plug-ins ohne offiziellen Store-Eintrag können Hinweise auf Adware sein.
Laut MITRE ATT&CK sollten installierte Erweiterungen auf die vorgesehenen geprüft werden, da sich schädliche Erweiterungen als legitime ausgeben können.
Ein Hinweis auf Browser-Hijacking ist die Abweichung von der voreingestellten Startseite oder der eingegebenen Adresse.
Was ist Browser-Hijacking?
Programme, die den Browser unter ihre Kontrolle bringen, lenken Aufrufe der Startseite oder neue Tabs auf Seiten um, die der Nutzer nicht angesteuert hat. Auch das Suchfeld kann so missbraucht werden, dass Suchanfragen nicht zum gewünschten Ergebnis, sondern auf Werbeseiten führen. Auch die eingegebene Web-Adresse kann dann statt zum erwarteten Ziel woandershin führen, etwa auf Werbeseiten. Laut BSI richten diese Programme zwar keinen direkten Schaden an, sind aber lästig und lassen sich nur mit Mühe wieder entfernen. Mittelbar können sie dennoch zum Sicherheitsrisiko werden, weil eingeblendete Werbung auf verdächtige Seiten führen kann. Programme dieser Art können sich ohne Wissen des Nutzers im Hintergrund installieren. Auch mit Zustimmung des Nutzers können sie von Adware installiert werden, um Werbung einzublenden.
Manipuliert Schadsoftware die Browsereinstellungen eines Mitarbeiters, kann sie ihn auf fremde Websites lenken, über die weitere Schadsoftware auf Systeme eines Versicherers gelangen kann. Eingeblendete Werbung kann arglose Nutzer auf verdächtige Seiten führen und so das Risiko weiterer Adware-Angriffe oder einer Infektion mit zusätzlicher Schadsoftware erhöhen. Browser-Hijacking tritt auch im Zusammenhang mit Adware auf, die in erster Linie finanziell motiviert ist und Werbung einblendet, dafür aber begrenzte Nutzerinformationen anfordern kann.
Wie funktioniert Browser-Hijacking?
Beim Browser-Hijacking ändern Programme Einstellungen des Browsers, etwa Startseite, Standardsuchmaschine und Neuer-Tab-Seite, sodass Aufrufe auf andere Seiten führen. Als Erweiterungen oder Plug-ins können sie im Hintergrund verschiedene Konfigurationsdateien verändern. Die Umleitung kann auf Partnerseiten oder andere Domains führen, statt die gesuchte Information zu liefern. Nutzer können diese Änderungen unter Umständen nicht ohne Entfernungsprogramme rückgängig machen.
Auf den Rechner gelangen solche Programme auf mehreren Wegen. Laut BSI machen sich Browser-Entführer Schwachstellen im Betriebssystem oder in Anwendungen zunutze. Manche Adware ist in den Installationsprogrammen echter Anwendungen versteckt. Adware kann unter anderem über die Installationsroutinen von Free- und Shareware-Programmen auf Rechner gelangen. Auch Torrents, andere inoffizielle Quellen und kostenlose Filesharing-Dienste können Installationsprogramme mit Adware enthalten. Laut MITRE ATT&CK können schädliche Erweiterungen in Marktplätzen ähnlich oder identisch wie harmlose Erweiterungen benannt sein. Welcher Weg genutzt wurde, bestimmt, wo die IT-Sicherheit bei der Bereinigung ansetzen muss.
Woran erkenne ich Browser-Hijacking?
| Signal | Woran erkennbar |
|---|---|
| Abweichende Startseite oder Zieladresse | Statt der voreingestellten Startseite oder der eingegebenen Web-Adresse erscheint eine andere Seite, etwa eine Werbeseite |
| Neue Standardsuchmaschine | Die Standardsuchmaschine hat sich geändert, ohne dass jemand sie umgestellt hat; Suchanfragen führen auf Werbeseiten statt zum gewünschten Ergebnis |
| Neue Symbolleiste oder Erweiterung ohne offiziellen Store-Eintrag | Im Browser ist eine Symbolleiste oder Erweiterung vorhanden, zu der es keinen offiziellen Store-Eintrag gibt; sie kann zu Adware gehören |
Schutz im Ernstfall
Vorbeugen
- Browser-Erweiterungen und Plug-ins auf Dienstgeräten nur aus freigegebenen Quellen zulassen und prüfen, ob die installierten die vorgesehenen sind.
- Als Regel für Mitarbeiter: Software auf Dienstgeräten nur aus von der IT-Sicherheit freigegebenen Quellen installieren, weil Adware auch in den Installationsprogrammen echter Anwendungen versteckt sein kann.
- Betriebssystem und Anwendungen auf aktuellem Stand halten, weil Browser-Entführer Schwachstellen ausnutzen.
- Mitarbeiter dafür sensibilisieren, dass schädliche Erweiterungen in Marktplätzen ähnlich oder identisch wie harmlose benannt sein können.
Was tun im Ernstfall
- Das betroffene Gerät vom Netzwerk trennen.
- Den Verdacht der internen IT-Sicherheit melden, bevor selbst etwas deinstalliert oder zurückgesetzt wird.
- Da über die Umleitung weitere Schadsoftware auf das Gerät gelangt sein kann, im Browser verwendete Zugangsdaten sofort von einem nicht betroffenen Gerät aus ändern.
- Anschließend das Gerät durch die IT-Sicherheit mit einem Entfernungsprogramm bereinigen und auf weitere Schadsoftware prüfen, nicht freigegebene Erweiterungen entfernen und die Browser-Einstellungen auf Standard zurücksetzen lassen.
Beispiele aus der Praxis
- Ein Installationsprogramm für ein kostenloses Programm enthält zusätzlich eine Adware, die nach der Installation die Standardsuchmaschine des Browsers ändert.
- Eine Browser-Erweiterung, die einer harmlosen Erweiterung im Namen ähnelt oder gleicht, verändert im Hintergrund Konfigurationsdateien und führt Suchanfragen auf Werbeseiten.
- Ein Browser-Entführer nutzt eine Schwachstelle im Betriebssystem oder in einer Anwendung aus, um sich zu installieren und die Startseite des Browsers umzustellen.
- Wird der Browser eines Mitarbeiters so umgestellt, dass er auf fremde Websites führt, kann über diese Seiten weitere Schadsoftware auf Systeme eines Versicherers gelangen.
Die Varianten im Detail (4)
Bösartiges Browser-Plugin Bösartiges Browser-Plugin ist eine Erweiterung, die Einstellungen oder Inhalte des Browsers ohne Zustimmung verändert.
Solche Plugins leiten Suchanfragen um, blenden Werbung ein oder verändern Seiten und gelten als häufiger Weg, einen Browser zu übernehmen. Sie werden oft mit nützlicher Software mitinstalliert.
Fake-Browser-Erweiterung Fake-Browser-Erweiterung ist eine Erweiterung, die sich als legitime Funktion ausgibt, aber schädliche Aufgaben erfüllt.
Name und Beschreibung ahmen bekannte oder nützliche Erweiterungen nach, um Installationen zu erzielen. Nach der Installation greift sie etwa Suchverläufe ab oder ändert Startseite und Suchmaschine.
Gekaperter Browser Gekaperter Browser ist ein Browser, dessen Einstellungen oder Verhalten durch Schadsoftware fremdgesteuert werden.
Der Begriff beschreibt den Zustand nach einem erfolgreichen Browser-Hijacking: Startseite, Suchmaschine oder Weiterleitungen entsprechen nicht mehr den Vorgaben des Nutzers.
Youndoo-Hijacker Youndoo-Hijacker ist ein Browser-Hijacker, der unter dem Namen Youndoo bekannt ist.
Er verändert typischerweise Startseite und Suchmaschine des Browsers und leitet Anfragen auf eigene Seiten um. Die Bezeichnung steht für ein konkretes Programm und nicht für eine allgemeine Art des Hijackings.
Häufiger Irrtum
Mythos „Die Umleitung auf Werbeseiten bleibt ohne Folgen für die Sicherheit.“
Richtig Eingeblendete Werbung kann arglose Nutzer auf verdächtige Seiten führen und damit das Risiko weiterer Adware-Angriffe oder einer Infektion mit zusätzlicher Schadsoftware erhöhen.
