Cybercrime

Dieter Kochheim, Cybercrime - 43 -A.3 4.5 onlineDer Anwender, der eine fremde Webseite aufruft,gibt dabei einige Basisdaten über sich preis. Dasist zunächst die nummerische Internetadresse, mitder er sich bewegt und die ihm in aller Regel vonseinem Zugangsprovider vorübergehend (dynamisch)zugewiesen wird. Daneben offenbart erauch den Typ seines Webbrowsers und seinen"Referrer" 231 , wenn er etwa eine Suchmaschineoder eine Linksammlung genutzt hat.Auch die auf seinem System vorhandenen Cookiessind lesbar, wenn sie vom Zielserver angefordertwerden, und können weitere personenbezogeneDaten enthalten. Das gilt besonders für die HTTP-Cookies 232 , die vom Webbrowser gespeichert undübermittelt werden.Diese relativ allgemeinen Informationen sind nichtbesonders gefährlich und bieten nur wenige Angriffspunkte.Sie offenbaren allerdings die persönlichenNeigungen und Eigenschaften des Anwenders,die zum Social Engineering missbrauchtwerden können.Wegen der im Browser gespeicherten Zugangsdatenfür das Homebanking oder Shopping im Internetsieht das schon anders aus. Sie können zwarnicht unmittelbar ausgelesen werden, wohl aber,wenn es dem Angreifer gelingt, den PC mit Malwarezu infiltrieren.Die dazu verwendeten Methoden wurden bereitsangesprochen. Es handelt sich um das DNS-Poisoning 233 , bei dem die interne Host-Datei soumgeschrieben wird, dass der Browser zu einernachgemachten und präparierten Seite geführtwird, die iframe-Umleitung 234 und das Hacking vonDatenbanken für die Bestückung dynamischerWebseiten (SQL-Injection 235 ).Die aufgerufene Webseite kann zudem so präpariertsein, dass sie unter Ausnutzung von Schwachstellenim Browser eigene Aktivitäten ausführt. Diedazu verwendeten Kommandos können sowohl im231WP, Referrer232WP, HTTP-Cookie233Siehe oben.234Siehe oben.235WP, SQL-InjectionQuellcode der Seite (vor Allem Java-Script 236 )oder in einem plötzlich erscheinendenWerbefenster (Pop-up 237 ) eingebunden sein.Dasselbe gilt für iFrames 238 , die häufig fürWerbeeinblendungen von fremden Seitenverwendet werden und deshalb auch zurEinschleusung von Schadcode missbrauchtwerden können.Diese aktiven Funktionen können dann zu einemDrive-by-Download 239 führen, bei dem alleinschon das Aufrufen der Seite dazu reicht, dassdie Malware unbemerkt zum Anwender übermitteltwird.Besondere Vorsicht ist geboten, wenn die Websiteein Plug-in 240 zum Download anbietet, das angeblichfür irgendwelche besondere Dienste notwendigsei. Damit soll in aller Regel der Browsermanipuliert und die Malware direkt installiert werden.Ganz ähnlich funktioniert die Verbreitung überPeer-to-Peer-Netzwerke 241 (Tauschbörsen 242 ),wobei der Download nicht von einem Webserver,sondern von einem Partner erfolgt.Ganz unbemerkt kann ein Angreifer dann die Malwareeinsetzen, wenn bereits eine "Hintertür"(Backdoor 243 ) besteht, die entweder mit einemRootkit 244 oder bereits herstellerseits eingerichtetwurde (Fernwartung 245 ). Besonders gefürchtetsind insoweit Telefonanlagen 246 , die häufig einedirekte Verbindung zum informationsverarbeitendenSystem haben und das besonders dann,wenn Voice-over-IP 247 - VoIP - genutzt wird (Internettelefonie).236WP, JavaScript237WP, Pop-up238WP, Inlineframe239WP, Drive-by-Download240WP, Plug-in241WP, Peer-to-Peer242WP, Tauschbörse243WP, Backdoor244WP, Rootkit245WP, Fernwartung246CF, Telefonanlagen247WP, IP-Telefonie