Das lukrative Geschäft mit falscher Antiviren- Software

Transkript

1 Das lukrative Geschäft mit falscher Antiviren- Software November 2009 Autor: Renato Ettisberger SWITCH 2009

2 1. Das Geschäftsmodell Nie waren die Computersysteme von Firmen und Privaten dermassen vielen Cyberattacken ausgesetzt wie heute. Und weil dem so ist, boomt auch das Geschäft mit der Angst der Internetnutzer. Aber ebenso schnell wie Sicherheitsfirmen weltweit immer neue Antiviren-Software auf den Markt bringen, haben die Verursacher der Panikwelle einen Weg gefunden, daraus Kapital zu schlagen und zwar sehr viel Kapital: Millionenfach bringen Kriminelle gefälschte Antiviren- Software, sogenannte Scareware, in Umlauf. Dies erfolgt entweder per -Anhang, über infizierte Wechseldatenträger oder per Drive-by-Infection [1]. Auf den Rechnern der Opfer sorgt die Scareware zunächst für störende Pop-ups mit der Behauptung, der Rechner sei mit Viren verseucht. Die vermeintliche Lösung: der Kauf einer bestimmten Antiviren-Software. Geht ein Internetnutzer auf dieses Angebot ein, kann dies kostspielige Konsequenzen haben. Was genau hinter der Scareware-Masche der Internetbetrüger steckt, zeigt folgender Bericht auf. 2. You ve got Mail Es beginnt in diesem Beispiel, wie leider so häufig, durch unbedachtes Öffnen eines anhangs. In diesem spezifischen Fall lautet der Text der wie folgt: Abbildung 1: mit verdächtigem Anhang Der englische Text, ein anhang sowie eine unbekannte Absenderadresse schreien geradezu danach, dieses ungeöffnet zu löschen. Um jedoch aufzuzeigen was passiert, wenn man diesen fundamentalen Sicherheitshinweis missachtet, klicken wir auf den Anhang. Darin befindet sich die Datei install.exe. Die Cyberkriminellen haben längst auf das Sprachproblem reagiert und bieten Lösungen in der entsprechenden Sprache des jeweiligen Landes an. Dies trifft auch auf die texte zu. SWITCH 2009 Seite 2/7

3 Wird diese Datei durch einen Doppelklick geöffnet, geht der eigentliche Zauber los. Um den Unterschied vor und nach der Infektion des Systems aufzuzeigen, sind nachfolgend einige Printscreens aufgeführt. Das erste Bild zeigt das Security-Center eines nicht infizierten Windows XP Systems. Über das Security-Center werden die wichtigsten Informationen und Einstellungen wie die Windows-Firewall, der automatische Updatemechanismus sowie eine allfällig installierte AV- Software angezeigt. In diesem Fall sind die Windows-Firewall und das automatische Update aktiviert. Abbildung 2: Einstellungen des Security-Centers bei einem nicht infizierten System Eine Antiviren-Software ist aufgrund des Tests nicht installiert. Sobald man auf die Datei install.exe klickt, erscheint bereits der erste Warnhinweis. Abbildung 3: Warnmeldung durch die Schadsoftware Auf den ersten Blick sieht es so aus, als ob die Warnung vom eingebauten Security-Center selbst kommt und genau das wollen die Cyberkriminellen damit auch erreichen. Auf den zweiten Blick könnte jedoch auffallen, dass das rote Symbol in der Taskleiste im Vergleich zum Original deutlich grösser ist. Netterweise bietet sich die Lösung des Problems im Popup-Fenster gleich selbst an: Klickt man auf diese Warnung, wird eine Antiviren-Software aus dem Internet herunter geladen und installiert. SWITCH 2009 Seite 3/7

4 Abbildung 4: Installation der gefälschten Antiviren-Software Sobald der Download erfolgt ist, beginnt die neue AV-Software ihren Dienst und fängt an, den PC nach Viren, Würmern und dergleichen zu durchsuchen. Selbstverständlich täuscht dies die Software nur vor. In Wirklichkeit passiert diesbezüglich gar nichts. Für den Benutzer ist dies jedoch kaum ersichtlich, zumal die Oberfläche der angeblichen AV-Software sehr professionell gestaltet ist und täuschend echt aussieht. Abbildung 5: Oberfläche der gefälschten AV-Software Interessant ist auch, dass die Darstellung des Security-Centers angepasst wird und der Hinweis auf eine vorhandene AV-Software von gelb auf rot gesetzt wurde. Dies erfolgte ebenfalls durch die gefälschte AV-Software (vergleiche dazu Abbildung 2). Abbildung 6: Geänderte Einstellungen im Security-Center SWITCH 2009 Seite 4/7

5 Auch hier ist die Täuschung des Opfers das Ziel. Selbstverständlich findet die AV-Software eine grosse Anzahl an angeblichen Schädlingen auf dem PC (siehe Abbildung 7). Doch der einzige Schädling auf dem PC ist in Tat und Wahrheit die eben installierte AV-Software. Abbildung 7: Beunruhigende Ergebnisse des AV-Scans Für den Benutzer ist das Ergebnis jedoch mehr als beunruhigend. Wer will es ihm da verdenken, wenn er die AV-Software registriert. Denn leider scannt sie das System nur nach angeblichen Schädlingen. Um diese jedoch loszuwerden, muss man dann bitte schön das Produkt käuflich erwerben. Klickt man auf den entsprechenden Registrierungsbutton, landet man auf einer Webseite. Auch hier wieder: sehr professioneller Webauftritt, der sich kaum von Webseiten der realen AV-Hersteller unterscheidet. Abbildung 8: Registrierungsseite der gefälschten AV-Lösung SWITCH 2009 Seite 5/7

6 Sogar angebliche Bewertungen von unterschiedlichen Fach-Magazinen sind auf der Webseite zu finden. Das Bestellformular ist ebenfalls von sehr guter Qualität. Abbildung 9: Bestellformular Wie bei der echten Konkurrenz erhält der Benutzer die Möglichkeit, zwischen mehreren Lizenzen wählen zu können. Das Land wurde freundlicherweise bereits automatisch ausgefüllt. Entscheidet sich der Benutzer jedoch gegen die Registrierung des Produktes, tauchen in regelmässigen Abständen Warnhinweise auf. Beispielsweise auch bei der Benutzung des Webbrowsers während dem Surfen im Internet. Jeder vierte oder fünfte Aufruf einer Webseite liefert das beängstigende Ergebnis: Abbildung 10: Warnhinweis, hervorgerufen durch die gefälschte AV-Software SWITCH 2009 Seite 6/7

7 3. Fazit Aus unverständlichen Gründen war niemand von uns bereit, seine Kreditkarte für die weiteren Analysen zur Verfügung zu stellen. Dennoch hat dieses konkrete Beispiel gezeigt, wie findig und professionell die Cyberkriminellen heute vorgehen. Dabei ist das Geschäftsmodell der gefälschten AV-Softwarelösungen beinahe schon als brillant zu bezeichnen. Die Kriminellen erlangen so in vielen Fällen zumindest eine gültige Kreditkarte und die dazu notwendigen Angaben. Spinnen sie die Idee jedoch weiter, dann bekommen sie neben den jährlichen Kosten für die eben erworbene AV-Software damit auch einen ständigen Zugang zu dem eben infizierten System und können dieses für weitere illegale Machenschaften verwenden. Ein Beispiel ist das Versenden von Spam. Der Benutzer merkt kaum, dass sein System in Tat und Wahrheit gar nicht geschützt ist. Massnahmen: - System- und Programme auf dem aktuellsten Stand halten - richtige AV-Software installieren - Windows-Firewall aktivieren - Keine Anhänge aus unbekannter Quelle öffnen Dieses Dokument finden Sie auch auf unserer Internetseite unter: 4. Referenzen [1] Drive by Infection Konzept & Fallbeispiel, SWITCH ve-by-infection.pdf SWITCH 2009 Seite 7/7