Gefälschte Seite, falsche Software – trotz korrekt aussehender Links

Was geschehen ist – die Kernmeldung

Sicherheitsforscher des Unternehmens Malwarebytes haben eine groß angelegte und perfide Kampagne aufgedeckt, bei der Betrüger gezielt gefälschte Webseiten einsetzen, um Internetnutzer in die Irre zu führen. Die Täter erstellen Kopien bekannter und vertrauenswürdiger Download-Portale für populäre Software und Spiele. Das Besondere an dieser Masche ist die technische Umsetzung: Die Webseiten zeigen beim Überfahren mit dem Mauszeiger korrekt erscheinende, legitime Zieladressen an, um das Vertrauen der Nutzer zu gewinnen. Sobald der Anwender jedoch auf den vermeintlich sicheren Link klickt, greift ein im Hintergrund agierendes JavaScript-Programm ein. Dieses leitet den Nutzer über einen sogenannten Affiliate-Redirect auf eine völlig andere Webseite um. Anstatt der ursprünglich gesuchten Software wird dem Opfer dabei das Programm „Download Studio“ untergejubelt. Die Analysten konnten insgesamt 41 solcher betrügerischen Webseiten identifizieren, die ein breites Spektrum an beliebten Anwendungen und Spielen abdecken. Diese Kampagne stellt eine erhebliche Gefahr dar, da sie grundlegende Sicherheitsregeln, wie das Überprüfen von Linkzielen vor dem Anklicken, gezielt aushebelt und die Nutzer durch die hohe Professionalität der Fälschungen in Sicherheit wiegt.

Die Einzelheiten der Kampagne

Die von den Malwarebytes-Experten analysierten Webseiten sind in ihrer Gestaltung äußerst täuschend. Die Betrüger investieren viel Mühe in die Erstellung der Seiten, indem sie korrekte Produktinformationen, echte Entwickler-Ressourcen und sogar authentisch wirkende Download-Links integrieren. Zu den betroffenen Software-Titeln und Spielen gehören bekannte Namen wie Counter-Strike, Half-Life, Fallout, Roblox, PUBG, The Witcher, 7-Zip, Foxit PDF, Paint.NET, Total Commander, VLC und VMware. Ein besonders prägnantes Beispiel ist eine gefälschte Seite, die den Download von Counter-Strike verspricht. Während der Browser beim Überfahren der Schaltfläche eine echte Steam-Store-Adresse anzeigt, führt der Klick auf die Schaltfläche nicht zum Ziel, sondern löst den manipulierten Redirect aus. Auch bei Tools wie dem VLC Media Player gehen die Täter ähnlich vor: Die Seite präsentiert die aktuelle Versionsnummer und den korrekten Link, doch der hinterlegte Click-Handler ignoriert diese Vorgabe und leitet den Besucher stattdessen zum Download von „Download Studio“ weiter. Die Täter gehen sogar so weit, für Spiele wie GTA 6 detaillierte Installationsanleitungen und Systemanforderungen zu veröffentlichen, obwohl für dieses Spiel gar keine PC-Version angekündigt wurde.

Hintergrund und bisheriger Verlauf

Die Masche der Betrüger basiert auf der Ausnutzung des menschlichen Vertrauens in die visuelle Kontrolle von Hyperlinks. Seit Jahren wird Internetnutzern geraten, den Mauszeiger über einen Link zu bewegen, um in der Statuszeile des Browsers das tatsächliche Ziel zu prüfen. Die Hinterleute dieser Kampagne haben diesen Mechanismus nun durch den Einsatz von JavaScript-basierten Click-Handlern gezielt ausgehebelt. Die Webseiten sind so programmiert, dass sie die Erwartungshaltung der Nutzer bedienen. Die Kampagne ist nicht auf eine einzelne Nische beschränkt, sondern umfasst sowohl hochspezialisierte Windows-Tools als auch populäre Unterhaltungssoftware. Die Analysten weisen darauf hin, dass die Drahtzieher offenbar versuchen, durch Affiliate-Provisionen Geld zu verdienen, indem sie Nutzer zu „Download Studio“ leiten. Die Software „Download Studio“ selbst wird von den Analysten zwar nicht als klassische Malware eingestuft, doch gab es in der Vergangenheit sicherheitsrelevante Vorfälle. So wurde im Jahr 2020 über ein Update dieser Software Schadcode namens „FakeMBAM“ verbreitet, wobei die Herausgeber damals einen Angriff auf ihre eigenen Update-Server einräumten. Die aktuelle Kampagne nutzt dieses Tool nun als Vehikel für ihre Zwecke.

Die Beteiligten und ihre Rollen

Im Zentrum der Analyse stehen die Virenanalysten von Malwarebytes, die die Kampagne aufgedeckt und in einem detaillierten Blogbeitrag dokumentiert haben. Die betroffenen Nutzer sind all jene, die nach populären Anwendungen wie 7-Zip, VLC oder Spielen wie Counter-Strike suchen und dabei möglicherweise auf manipulierte Suchergebnisse oder Werbeanzeigen hereinfallen. Auf der Gegenseite stehen die anonymen Drahtzieher der Kampagne, deren Identität und genauer Standort aus dem Quelltext nicht hervorgehen. Sie agieren als Betreiber eines Netzwerks von mindestens 41 gefälschten Webseiten. Indirekt betroffen sind auch die Hersteller der imitierten Software, deren Marken und Produktinformationen missbraucht werden, um die Glaubwürdigkeit der betrügerischen Seiten zu erhöhen. Zudem wird auf die Rolle der Suchmaschinen verwiesen, da Nutzer häufig über Werbeanzeigen in Suchmaschinen auf diese gefälschten Seiten gelangen. Die Entwickler von „Download Studio“ werden als diejenigen genannt, deren Software durch die Affiliate-Redirects verbreitet wird, wobei die Analysten ausdrücklich darauf hinweisen, dass die Software selbst in ihrem aktuellen Zustand nicht zwingend als bösartig einzustufen ist, die Verbreitungsmethode jedoch höchst fragwürdig bleibt.

Einordnung der Sicherheitslage

Einzuordnen ist diese Kampagne als eine Form des Social Engineerings, die technische Täuschung mit psychologischer Manipulation kombiniert. Den Berichten zufolge ist die Gefahr besonders hoch, da die Täter die „Cyber-Hygiene“ der Nutzer gegen sie selbst verwenden. Indem sie die gewohnten Sicherheitsprüfungen – wie das Überprüfen des Linkziels – durch eine bewusste Manipulation der Browser-Anzeige ad absurdum führen, verlieren selbst vorsichtige Nutzer ihre gewohnte Sicherheit. Die Qualität der Fälschungen, die sogar Systemanforderungen und Installationsanleitungen für nicht existierende PC-Versionen von Spielen wie GTA 6 enthalten, zeigt ein hohes Maß an Professionalität. Die Strategie der Täter ist es, eine vertrauenswürdige Umgebung zu simulieren, um die Hemmschwelle für einen Download zu senken. Die Tatsache, dass die Ziel-Downloads von „Download Studio“ stammen, deutet darauf hin, dass es den Hinterleuten primär um die Generierung von Affiliate-Einnahmen geht, wobei das Risiko für die Nutzer durch die Installation fremder Software, deren Integrität nicht garantiert werden kann, massiv steigt. Die Analysten betonen, dass dies ein klassisches Beispiel für die Gefahren durch manipulierte Suchergebnisse ist.

Offene Fragen und Lücken

Der Quelltext lässt einige entscheidende Fragen unbeantwortet, die für ein vollständiges Verständnis der Kampagne wichtig wären. So bleibt unklar, wie genau die Betrüger die gefälschten Webseiten in den Suchergebnissen platzieren. Ob sie gezielt Suchmaschinenoptimierung (SEO) betreiben, um bei Suchanfragen weit oben zu erscheinen, oder ob sie verstärkt auf bezahlte Werbeanzeigen setzen, wird nicht explizit geklärt. Ebenso wenig wird die Frage beantwortet, wer genau hinter den 41 identifizierten Webseiten steckt und ob diese von einer einzelnen kriminellen Gruppierung oder einem losen Netzwerk betrieben werden. Auch über die genaue geografische Verbreitung der Kampagne und die Anzahl der potenziellen Opfer liegen keine Informationen vor. Zudem bleibt offen, welche konkreten Maßnahmen die Betreiber der betroffenen Software-Produkte ergreifen können, um den Missbrauch ihrer Marken zu unterbinden. Schließlich wird nicht detailliert erläutert, welche weiteren Schadprogramme neben „Download Studio“ in der Zukunft über diese Infrastruktur verbreitet werden könnten, da die Download-Ziele laut den Analysten jederzeit geändert werden können.

Wie es weitergeht und Handlungsempfehlungen

Die Sicherheitsforscher von Malwarebytes geben klare Empfehlungen, wie sich Anwender vor solchen Angriffen schützen können. Zunächst sollte nach jedem Download die digitale Signatur der Datei überprüft werden, um sicherzustellen, dass sie tatsächlich vom erwarteten Hersteller stammt. Wenn die Dateieigenschaften auf „Download Studio“ statt auf die gewünschte Software verweisen, sollte der Installationsprozess sofort abgebrochen werden. Die wichtigste Empfehlung lautet jedoch, Software ausschließlich über die offiziellen Webseiten der Hersteller zu beziehen und nicht auf Links aus Werbeanzeigen von Suchmaschinen zu klicken. Die Analysten haben zudem eine Liste von „Indicators of Compromise“ (IOC) erstellt, die bei der Identifizierung der betrügerischen Aktivitäten helfen können. Da die Kampagne dynamisch ist und die Download-Ziele jederzeit auf tatsächliche Schadsoftware umgestellt werden können, ist eine dauerhafte Wachsamkeit geboten. Es ist davon auszugehen, dass die Täter ihre Methoden weiter verfeinern werden, um auch zukünftig die Sicherheitsmechanismen der Browser und die Aufmerksamkeit der Nutzer zu umgehen. Eine offizielle Stellungnahme oder ein konkretes Datum für das Ende der Kampagne gibt es naturgemäß nicht, weshalb die Verantwortung für die Sicherheit beim Endanwender verbleibt.