{"id":1707,"date":"2008-01-10T11:03:35","date_gmt":"2008-01-10T10:03:35","guid":{"rendered":"http:\/\/bloggingtom.ch\/archives\/2008\/01\/10\/hintergruende-zum-malware-banner-beim-blick\/"},"modified":"2008-01-14T16:13:41","modified_gmt":"2008-01-14T15:13:41","slug":"hintergruende-zum-malware-banner-beim-blick","status":"publish","type":"post","link":"https:\/\/bloggingtom.ch\/blog\/archives\/2008\/01\/10\/hintergruende-zum-malware-banner-beim-blick\/","title":{"rendered":"Hintergr\u00fcnde zum Malware-Banner beim \u00abBlick\u00bb"},"content":{"rendered":"
\"PC<\/div>\n

Bis letzten Dienstag ging ich davon aus, dass Werbebanner, die den User auf eine gef\u00e4hrliche Seite umleiten und ihm Schadsoftware, Trojaner oder \u00e4hnliches unterjubeln wollen, ein nicht sehr verbreitetes Ph\u00e4nomen sind. Doch da habe ich mich gr\u00fcndlich get\u00e4uscht, wie ich gestern lernen durfte. Nicht nur Sandi Hardmeier<\/a>, die den Fall mit dem sch\u00e4dlichen Flashbanner bei blick.ch<\/a> bekanntgemacht hat, auch der Vermarkter web2com<\/a> weist darauf hin, dass dies vor allem in Amerika eine ziemlich verbreitete Angriffsart auf Computer ist. Dabei gehen die T\u00e4ter \u00e4usserst professionell vor, wie auch am aktuellen Fall zu sehen ist.<\/p>\n

Das f\u00e4ngt bereits bei der Programmierung des entsprechenden Flashbanners an. Nicht nur wird Geotargeting verwendet, um speziell die Computer aus bestimmten L\u00e4ndern oder Regionen zu infizieren. Zus\u00e4tzlich greift auch eine IP-Sperre, so dass bekannte \u201eJ\u00e4ger\u201c die Umleitung auf die Malware-Seite gar nicht zu Gesicht bekommen und, wie andere Nutzer ausserhalb der definierten Geozonen, ganz normal auf die beworbene Webseite geleitet werden. Das Ganze wird dann meist auch noch verschl\u00fcsselt in Flash gespeichert, was aber weiter kein Aufsehen erregt, wie auch Pierre Bohren von web2com hier in den Kommentaren<\/a> erkl\u00e4rt:<\/p>\n

Da Redirects als solches in der Online-Werbung von Kunden oft zum Mittracken verwendet werden, ist es rein technisch sehr schwierig die Spreu vom Weizen zu trennen.<\/p><\/blockquote>\n

Im aktuellen Fall geht web2com zwar davon aus, dass der Redirect auf die Malware-Site nur f\u00fcr nordamerikanische Nutzer gegriffen hat. Laut Sandi Hardmeier, ist das aber nicht zutreffend, da sie den Redirect auch in Australien zu Gesicht bekommen hat. Kommt dazu, dass es wohl kaum Sinn machen w\u00fcrde, die Werbung auf einer Schweizer Website zu platzieren, wenn man es lediglich auf Nordamerika abgesehen h\u00e4tte.<\/p>\n

Der Weg zu blick.ch<\/strong>
\n<\/p>\n

\"Be<\/div>\n

Doch wie kam das Banner nun zu blick.ch? Der Auftrag ging von der amerikanischen Agentur Proximo Group<\/a> via Ringier International an web2com, wo der Auftraggeber und das Banner gepr\u00fcft wurden. Auch Ringier selbst pr\u00fcft nach eigenen Angaben jeweils sowohl Auftraggeber und das zu verwendende Banner. Das Problem daran: Als Auftraggeber gilt nicht der eigentliche Kunde, sondern, gerade bei internationalen Auftr\u00e4gen \u00fcblich, die entsprechend beauftragte Werbeagentur, in diesem Fall also die Proximo Group. Da zeigt sich dann auch die Schw\u00e4che bei der Pr\u00fcfung des Kunden: Weder web2com noch Ringier ist somit der eigentliche Endkunde bekannt.<\/p>\n

FBI eingeschaltet<\/strong><\/p>\n

Skyauction.com<\/a>, deren Name f\u00fcr die Flashbanner missbraucht wurde, ist, wen wunderts, wenig begeistert \u00fcber diese Machenschaften, zumal der aktuelle Fall nicht der erste seiner Art ist, wie Gary Doughty, Chief Technology Officer von skyauction.com erkl\u00e4rt:<\/p>\n

We have had reports from a few different websites that have been tricked into accepting a malicious flash ad which looks like a SkyAuction ad, but is really not. We do not use flash ads, and the malicious flash ads people have seen look nothing like any campaign we have ever run. As far as we have been able to find out, there is a group that has created various fake ad companies that claim to represent us. They have even gone as far as creating a forged letter from our CEO stating that they have the authority to represent us when pressed to explain the behavior of the ads.<\/p><\/blockquote>\n

Wenn also f\u00fcr diese Zwecke sogar eigens Firmen gegr\u00fcndet werden, zeigt das auch, wieviel Geld mit diesen Machenschaften generiert werden. Immerhin: Skyauction.com hat in der Zwischenzeit das FBI eingeschaltet und es ist zu hoffen, dass dieses das un\u00fcbersichtliche Geflecht etwas entwirren kann.<\/p>\n

Malware in der Schweiz gehostet <\/strong><\/p>\n

\"Malware\"<\/div>\n

Zu einer kleinen Kontroverse f\u00fchrte gestern auch die Tatsache, dass die sowohl im aktuellen, als auch in \u00e4lteren F\u00e4llen f\u00fcr die Verbreitung der Malware genutzten Domains vom Provider nine.ch<\/a> gehostet wurden. Es handelt sich dabei u.a. um die Domainnamen<\/p>\n