Behälterfälschung

Auch eine Art bezahlte Treffer kostengünstiger an den Verbraucher zu bringen: ein Wurm, der die Google-Startseite genau imitiert. Nur die Adwords sind eben gefälscht.

P2Load.A heißt der Wurm und Verursacher einer Attacke auf die Gutgläubigkeit der Nutzer von Google. Entdeckt hat diesen Schädling nach eigenen Angaben das Forschungslabor von Panda Software, die PandaLabs. P2Load.A verbreite sich via P2P-Netzwerk Shareaza und Imesh und stelle dort seinen Code unter dem Titel ‚Knights of the Old Republic 2’ ein, was die User glauben machen soll, sie würden sich ein Spiel der Star-Wars-Saga herunterladen. Wird der Wurm ausgeführt, zeigt er eine Fehlermeldung auf dem Bildschirm an, die den User informiert, dass die Datei nicht existiert und wo er sie herunterladen kann. Passiert das, ist der Rechner infiziert und zwei Hauptveränderungen werden dann durchgeführt. Zum einen wird die Startseite des Browsers verändert und zeigt Werbung an. Zum anderen wird es dem Nutzer unmöglich gemacht, die Original-Seite der Suchmaschine Google zu erreichen.

Um dies durchzuführen verändert der Wurm die Host-Datei auf dem Rechner so, dass der User beim Versuch Google zu erreichen direkt auf eine exakt gefälschte Google-Seite geleitet wird. Die Kopie stelle ebenfalls die 17 Sprachen von Google zur Verfügung und leite den User auch bei einer falschen Eingabe im Browser auf die falsche Seite um, so dass der User keine Chance habe auf die echte Seite zu gelangen, heißt es in der Mitteilung von Panda Software. Bei einer Suchabfrage des Users erschienen die Suchergebnisse korrekt oder mit leichten Abweichungen zur echten Google-Seite. Die bezahlten Treffer allerdings am oberen Rand werden auf der gefälschten Seite durch andere Unternehmen ersetzt. Der Sinn und Zweck des Wurms, so vermutet Panda Software, sei es vermehrt Traffic auf den gesponsorten Seiten zu generieren, die teuer an Firmen verkauft worden seien. Der Wurm sei sogar in der Lage jede andere bekannte Webseite durch Ändern des Inhalts ebenfalls zu fälschen.

Betrüger bauen Windows Security Center nach
Ziel: Verkauf angeblicher Anti-Spyware-Programme

Online-Betrüger haben sich ein neuen Trick einfallen lassen. Sie haben eine Site ins Netz gestellt, die dem ‘Windows Security Center’ täuschend ähnlich sieht. Das Security Center ist eine Bedienoberfläche, über die Anwender in Windows XP Sicherheitsfeatures einstellen können. 
Auf der Fälscher-Site werden technische Daten des Besuchers angezeigt, sagte Patrick Hinojosa, CTO von Panda Software, dem Branchendienst TechWeb. Darunter seien die IP-Adresse, der verwendete Browser und das benutzte Betriebssystem.
Gleichzeitig werde behauptet, ein Hacker habe die Kontrolle über das System übernommen. Und dass der Einbrecher Informationen darüber sammele, welche Sites der Anwender aufrufe und welche Daten der Ordner ‘Eigene Dokumente’ enthalte. Zudem ploppe eine Fenster auf, in dem behauptet werde, der Rechner sei mit der Spyware ‘W32.Sinnaka.a’ infiziert.
“Das ist alles eine Lüge”, sagte Hinojosa. Es gebe weder eine Online-Ausgabe des Windows Security Center noch eine Spyware mit der Bezeichnung W32.Sinnaka.a. Ziel der Fälscher-Site sei es, den Anwender weich zu klopfen und sie dazu zu bringen, Programme zu kaufen, die angeblich Spyware beseitigen.
Diese Programme werden auf der Fälscher-Site beworben. Angeboten wird Software mit Namen wie ‘PS Guard’, ‘Spy Trooper’, ‘Raze Spyware’ und ‘World AntiSpy’ – zu einem Preis von jeweils 10 Dollar. Diese Software sei einschlägig bekannt, so Hinojosa. So sei ‘Spy Trooper’ lediglich eine umbenannte Version des berüchtigten Programms SypwareNo.

Das US-Unternehmen Trend Micro hat eine gefälschte Webseite entdeckt, die der originalen Yahoo-Seite zum Verwechseln ähnlich sieht, es jedoch auf den Diebstahl von vertraulichen Daten abgesehen hat. Auf der Seite werden kostenlose Computerspiele angeboten und die Besucher aufgefordert, sich mit ihrem Yahoo-Kennwort und -Passwort einzuloggen.

Einmal angemeldet, zeigt die Seite folgende Warnung an: “Pagina Hackeada – Cuidado!” Übersetzt aus dem spanischen heißt das soviel wie ‘Vorsicht, gehackte Seite’. Um die Anwender auf die Site zu locken, nutzen die Betrüger nach Angaben von Trend Micro Spam, der über den IM-Dienst (Instant Messenger) von Yahoo versendet wird.

“In erster Linie handelt es sich dabei um einen ‘Honeypot’, mit dem versucht wird, die Nutzer anzulocken, um sich für Online-Spiele anzumelden”, sagte Trend-Micro-Experte Adam Biviano gegenüber silicon.com. Die IM-Nachrichten könnten über einen Virus oder andere Malware generiert werden. Es werde immer üblicher, dass sich Viren über IM verbreiten, so Biviano.

Der einzige Zweck der Seite sei ID-Diebstahl. Es gehe nicht darum Kreditkarteninformation oder Geld von einem Bankkonto zu stehlen, es gehe ausschließlich um private Details. “Das zeigt, in welche Richtung die nächsten großen Bedrohungen gehen.”

Phishing-E-Mails kommen jetzt vom Chef

Ein ausgesuchter Mitarbeiter wird zur Zielscheibe

Datendiebe (Phisher) haben sich einen neuen Trick einfallen lassen, um an vertrauliche Daten zu kommen. Sie schicken Angestellten von Behörden und Unternehmen E-Mails, die angeblich vom Chef oder anderen Führungskräften stammen. Besonders raffiniert: nur ein einziger Mitarbeiter bekommt die Phishing-E-Mail.

So hat diese Technik – die besonders bei Angriffen auf große Behörden und Unternehmen effektiv sein dürfte – bereits einen Namen: ‘Spear Phishing’ (Speer-Phishing). Gab es zunächst nur wenige dieser Attacken, so ist deren Anzahl in der letzten Zeit sprunghaft angewachsen. Das Sicherheitsunternehmen MessageLabs verzeichnet derzeit nach einem Bericht der US-Presse ein bis zwei Spear-Phishing-Angriffe pro Woche.

Diese funktionierten für die Phisher wunderbar, sagte Allan Paller, Chef des Sicherheitsunternehmens SANS Institute. Die Angriffe seien schwer zurückverfolgbar. Viele dieser ‘Targeted Attacks’ würden von Rechnern in Asien gestartet, hieß es vom britischen ‘Zentrum zur Koordination der Sicherheit der nationalen Infrastruktur’ (NISCC).

Der Antivirensoftware-Hersteller Panda Software warnt vor einer neuen Phishing-Masche, die darauf abzielt, Web-Surfern Kreditkartendaten zu entlocken. Dabei setzen die Angreifer Websites auf, die echten Online-Diensten ähneln, und machen diese über Suchmaschinen publik. Perfide an der neuen Masche ist, dass nicht der Phisher aktiv, zum Beispiel per E-Mail, auf die Opfer zugeht, sondern anders herum das Opfer von sich aus die Phishing-Site sucht. Da die Phishing-Sites per Suchmaschine auffindbar sind, könnten die Opfer die Transaktionen unbedarfter durchführen.

In einem bereits im März bekannt gewordenen Fall, auf den die US-Behörde Overseas Security Advisory Council hinweis, waren mehrere Pseudo-Flugbuchungssites aufgetaucht, im Einzelnen www.BusySky.net, www.CheapClouds.com, www.CrazyTickets.net und www.SubmitPrice.net. Alle Sites lockten mit Dumping-Preisen für Flüge, die die Angebote anderer Anbieter deutlich unterboten, und sammelten Kreditkarteninformationen der Buchungswilligen ein. Mittlerweile sind die Sites vom Netz. Da die Masche jederzeit auch für andere Produkte wiederholt werden kann, empfiehlt Panda Software, möglichst nur bei bekannten Web-Diensten einzukaufen, die vertrauenswürdig sind.
(jo/c’t)

Was ist ein Einbruch in eine Bank gegen eine Gründung einer Bank? Das fragt Mackie Messer in Bertold Brechts “Dreigroschenoper.” Der moderne Internet-Kriminelle klaut keine Passwörter per Phishing-Mail (Online-Accounts sind stets nur so sicher wie die zugehörige E-Mail), sondern eröffnet gleich eine Online-Bank. Man nennt die zum Beispiel First European Asian Finance Bank oder “Trans Intercontinental Finance”. Das klingt seriös. Auch eine Lotterie eignet sich für Betrüger: das British Lottery Headquarters will das Geld der Leute wie jede Lotterie, nur nicht für einen guten Zweck.

Ahnungslose Surfer sollen durch scheinbar seriöses Outfit der Website und angeblich günstigen Konditionen das Geld aus der Tasche gezogen werden. Die Methode scheint zu funktionieren: Laut FBI macht die Mafia der Fake-Banken 200 Millionen Dollar Umsatz pro Jahr. Vor allem die Institutionen kleinerer Länder wie etwa die Malta Financial Services Authority oder die Jersey Financial Services Commission publizieren regelmäßig Listen, in denen vor betrügerischen “Banken” im Internet gewarnt wird.

[...]