AUER Magazin 2011-01 - AUER - Die Bausoftware GmbH

10
Support
Die unscheinbare Bedrohung
Gefahren lauern im Internet auch auf seriösen Seiten
Die Mehrheit der Internetnutzer fühlt sich bei der Lektüre von
seriösen Internetseiten sicher. Ob das Online-Programm des
Sportvereins oder das Blog eines Bekannten - dass der Pc
ausgerechnet von dort mit Trojanern, Keyloggern oder anderer
Schadsoftware verseucht werden könnte, können sich
viele Menschen nicht vorstellen. Aktuelle Statistiken zeigen
jedoch: die weitaus meisten Attacken stammen von absolut
seriösen Internetseiten! Wie kommt das zustande?
Angriffe über fremden Server
Während noch vor einigen Jahren der direkte Angriff auf Besucherrechner
mit einer eigens aufgesetzten Seite das Mittel der
Wahl war, wird von Kriminellen nun „über Bande gespielt“. Anstatt
mühevoll einer Seite mittels schlüpfriger oder illegaler Inhalte zu
nennenswerten Zugriffszahlen zu verhelfen, wird heute ein fremder
Server gekapert und dazu missbraucht, seinen ahnungslosen
Besuchern neben den regulären Seiten unbemerkt schädliche
Inhalte auszuliefern.
Als Opfer kommen große Online-Auftritte infrage, wo die Manipulation
einer einzigen Seite den Kriminellen täglich hunderttausende
von Zugriffen beschert. Bei diesen Auftritten wird Werbung
Jens Giesemann, freier
Mitarbeiter der NeMeTScHeK
Bausoftware mit den Schwerpunkten
Systemadministration,
Datenbanken und Desktopsicherheit.
in der Regel von den Servern externer Werbedienstleister eingeblendet,
die teilweise von weniger sicherheitsbewussten Unternehmen
betrieben werden. Folgerichtig wurden solche Ad-Server
bereits mehrfach von Kriminellen so manipuliert, dass sie mit
veränderten Werbeeinblendungen die Internetseiten aller Kunden
des betroffenen Werbedienstleisters verseuchen konnten.
Ein weiteres lohnendes Ziel sind die Rechenzentren von Webhostern.
Dort laufen zehntausende virtuelle Webserver für die
Sites von Kleinunternehmen und Privatleuten auf tausenden von
Servern, die zentral administrierbar sind. Mit einem gestohlenen
Administratorenzugang wird es möglich, durch eine einzige zentrale
Veränderung zehntausende von virtuellen Webservern zu
manipulieren, die in der Folge die Besucher der auf ihnen liegenden
Internetseiten angreifen, ohne dass der Seitenbetreiber dies
verhindern kann.
Häufig Attacken über Inlineframes
Die Angriffe erfolgen oft über sogenannte Inlineframes, kurz
Iframes. Das sind untergeordnete Inhaltsrahmen, in denen Inhalte
von externen Servern, wie beispielsweise Werbung, innerhalb
einer aufgerufenen Seite eingeblendet werden können. Als Inhalt
für den Iframe kommt dann meistens JavaScript, eine einfach
strukturierte Browser-Scriptsprache, zum Einsatz. JavaScript
ist unter anderem für wichtige Funktionen wie Formulare
erforderlich. Für einen Angriff wird es von einem Malware-Server
(Malware = Schadprogramm) des Angreifers geladen und arbeitet
im Verborgenen: vom Browser gestartet, arbeitet es selbsttätig.
Die Sicherheitskonzepte moderner Betriebssysteme und
Browser erlauben dem Script nicht, direkt gefährliche Aktionen
auszuführen. Also stellt das Script zunächst fest, auf welchem
Betriebssystem mit welchem Browser es ausgeführt wird.
Anhand dieser Informationen stellt der Malware-Server aus einer
Sammlung von Dutzenden maßgeschneiderter Angriffe einen
oder mehrere Erfolg versprechende bereit. Dabei handelt es sich
um manipulierte Anwendungsdateien wie beispielsweise PDF-
Dokumente oder Videodateien, die vom Script gestartet werden.
Das Betriebssystem startet daraufhin die passende Anwendung,
die die Datei anzuzeigen versucht. Durch einen gezielten Strukturfehler
in der Anwendungsdatei stürzt die Anwendung alsbald
ab, hinterlässt aber bösartigen Code im Arbeitsspeicher. Dieser