Malvertising (Kofferwort aus Malicious Advertising) ist eine Angriffsmethode im Internet, bei der Angreifer Schadcode in Online-Werbung einbetten, die anschließend auf legitimen Webseiten erscheint, ohne dass deren Betreiber davon wissen.
Auf einen Blick
Anzeigen, die unerwartet auf unbekannte Seiten weiterleiten oder ungefragt Downloads starten, wirken verdächtig.
Web-Filter sollen bekannte schädliche Seiten blockieren und das Ausführen schädlicher Skripte verhindern.
Ein Verdachtsfall wird zuerst der IT-Sicherheit gemeldet; anschließend werden Webseitenbetreiber und Werbenetzwerk informiert, damit die Anzeige untersucht werden kann.
Was ist Malvertising?
Malvertising nutzt Online-Werbung als Transportweg: Der schädliche Code wird über den Ad-Server in den Bannerbereich einer Webseite geladen. Der Angreifer muss die besuchte Webseite dafür nicht übernehmen. Er kann einen schlecht abgesicherten Ad-Server kompromittieren oder mit gestohlenen Kreditkarten Werbeplätze bei Vermarktern einkaufen. Die Malware im Banner nutzt dann Lücken im Browser und dessen Plugins aus, oder Besucher werden mithilfe von Umleitungen auf eine Malware-Seite gelotst. So erreicht der Angriff ein breites Publikum, ohne dass die einzelnen Webseiten selbst kompromittiert werden. Laut BSI können Banner populärer Seiten missbraucht werden, um die Opferzahlen zu erhöhen.
Beim Malvertising schleusen Angreifer manipulierte Werbebanner in legitime Werbenetzwerke ein; ruft ein Mitarbeiter eines Versicherers eine reguläre Webseite auf, kann über ein solches Banner Schadsoftware auf seinen Rechner gelangen. Ob dafür ein Klick nötig ist, hängt vom Angriff ab: Manchmal genügt der bloße Aufruf der Seite (Drive-by-Download), in anderen Angriffen muss die Anzeige angeklickt werden. Das Risiko ist größer, wenn Betriebssystem und Browser Sicherheitslücken aufweisen, weil Schadcode in Bannern solche Lücken ausnutzen kann.
Wie funktioniert Malvertising?
Malvertising funktioniert über die Werbekette: Der Angreifer bringt eine manipulierte Anzeige zu einem Ad-Server, der sie als gewöhnliches Banner an Webseiten ausliefert. Besucher einer solchen Webseite können ein unauffälliges Banner sehen, während im Hintergrund der Code des Angreifers geladen wird. Bei einem früheren Vorfall lieferten kompromittierte Werbe-Server JavaScript-Code aus, der auf Exploit-Kits verwies. Weil die besuchte Webseite die Anzeige nur einbindet, erreicht der Angreifer ein breites Publikum, ohne die einzelnen Webseiten selbst zu kompromittieren. Auch Webseiten, die als seriös gelten, können dadurch Schadcode ausliefern, ohne dass ihre Betreiber davon wissen.
Wie der Code wirkt, unterscheidet sich je nach Angriff. In einer dokumentierten Kampagne durchsuchte eine Datei das System nach einer Reihe von Antivirenprodukten und führte nur dann zur Landingpage eines Exploit-Kits, wenn keines gefunden wurde. Nach erfolgreicher Infektion lud das Exploit-Kit in dieser Kampagne einen Trojaner und Ransomware nach. Ein anderer dokumentierter Infektionsweg nutzt gefälschte Captchas als Zwischenschritt.
Woran erkenne ich Malvertising?
| Signal | Woran erkennbar |
|---|---|
| Unerwartete Weiterleitung | Eine Anzeige leitet unerwartet auf unbekannte Webseiten weiter. |
| Ungefragter Download | Beim Aufruf oder Anklicken einer Anzeige startet ein Download, den niemand angefordert hat. |
| Browserwarnung | Der Browser blendet Warnungen ein, nachdem eine Anzeige geladen wurde. |
| Zeitdruck in der Anzeige | Eine Anzeige kann mit Drohungen oder Dringlichkeitshinweisen zu sofortigem Handeln drängen. |
Schutz im Ernstfall
Vorbeugen
- Betriebssysteme, Browser und Plugins durch die IT zeitnah aktualisieren lassen, weil Schadcode in Bannern Sicherheitslücken ausnutzen kann.
- Web-Filter einsetzen, die bekannte schädliche Seiten blockieren und das Ausführen schädlicher Skripte verhindern sollen. Laut BSI sind auch Ad-Blocker eine Möglichkeit, sich vor Schadprogrammen aus Werbebannern zu schützen.
- Als Regel für Mitarbeiter festlegen: Vor dem Anklicken einer Anzeige die tatsächliche Zieladresse prüfen; vor einer Infektion beim bloßen Aufruf einer Seite schützt diese Regel nicht.
Was tun im Ernstfall
- Das betroffene Gerät vom Netzwerk trennen.
- Den Vorfall sofort der IT-Sicherheit melden.
- Den Webseitenbetreiber und das Werbenetzwerk über die schädliche Anzeige informieren lassen, damit der Fall untersucht werden kann.
- Das System durch die IT-Sicherheit analysieren und neu aufsetzen lassen; Daten erst danach aus Sicherungen, die vor der Infektion erstellt wurden, wiederherstellen.
Beispiele aus der Praxis
- Schädliche Anzeigen erscheinen auf großen Nachrichtenseiten; leitet die Anzeige auf ein Exploit-Kit um, kann dieses nach der Infektion einen Trojaner oder Ransomware nachladen.
- Im Jahr 2015 verbreitete ein Exploit-Kit über Malvertising auf großen Webportalen Ransomware.
- Ruft ein Mitarbeiter eines Versicherers eine seriöse Webseite auf, kann ein manipuliertes Werbebanner Schadsoftware auf seinen Rechner bringen.
Die Varianten im Detail (4)
Ad-Injection Ad-Injection ist das Einschleusen fremder Werbung in Webseiten, meist durch Schadsoftware oder Erweiterungen.
Die Einblendungen stammen nicht vom Seitenbetreiber, sondern von Software auf dem Gerät oder auf dem Übertragungsweg. Sie können Nutzer auf schädliche Ziele führen und überschneiden sich mit Malvertising.
Gefälschte Werbung Gefälschte Werbung ist eine Anzeige, die einen legitimen Absender oder ein echtes Angebot nur vortäuscht.
Sie führt zu betrügerischen Seiten oder löst Downloads aus und wird über Werbenetzwerke ausgespielt. Im Kern ist sie das sichtbare Mittel, mit dem Malvertising Nutzer erreicht.
JavaScript-Malvertising JavaScript-Malvertising ist Malvertising, bei dem bösartiger JavaScript-Code in Werbeanzeigen eingebettet ist.
Das Skript wird beim Laden der Anzeige im Browser ausgeführt und kann Weiterleitungen auslösen oder Schwachstellen ausnutzen. Ein Klick des Nutzers ist je nach Ausführung nicht in jedem Fall nötig.
YouTube-Malvertising YouTube-Malvertising ist Malvertising, das über Anzeigen oder Inhalte auf der Videoplattform YouTube verbreitet wird.
Schädliche Anzeigen oder Videobeschreibungen verweisen auf manipulierte Downloads, zum Beispiel vermeintliche Programme oder Anleitungen. Die Bezeichnung nennt den Verbreitungskanal, nicht eine eigene Technik.
