Bei einer aktuellen Kampagne locken Betrüger Opfer auf Webseiten, die scheinbar korrekte Download-Links für gesuchte Software anbieten. Am Ende landet aber eine ganz andere Software auf dem Rechner. Virenanalysten von Malwarebytes haben insgesamt 41 Webseiten mit dieser Masche entdeckt.
Ein weites Spektrum an Fälschungen
Die nachgemachten Seiten reichen von populären Spielen bis zu bekannten Windows-Tools. Wer nach Counter-Strike, Half-Life, Fallout, Roblox, PUBG, The Witcher, 7-Zip, Foxit PDF, Paint.NET, Total Commander, VLC oder VMware sucht, kann auf einer der gefälschten Seiten landen. Am Ende sollen sie Besucher dazu bringen, den Installer der Software „Download Studio" herunterzuladen.
Die Drahtzieher investieren laut den Analysten viel Aufwand in überzeugende Fälschungen, komplett mit korrekten Produktinformationen, Entwickler-Ressourcen und sogar echten Download-Links. Der Trick liegt woanders: Die Download-Links führen nicht dorthin, wohin der Link beim Überfahren mit der Maus zeigt. Bei einer Seite, die vorgibt, Counter-Strike zum Download anzubieten, zeigt der Browser beim Überfahren der Download-Schaltfläche eine echte Steam-Store-Adresse an. Klickt man darauf, öffnet sich aber nicht Steam, sondern das JavaScript der Webseite fängt den Klick ab und leitet über einen Affiliate-Link weiter, aktuell zu Download Studio.
Ein klassischer Sicherheitstipp wird ausgehebelt
Damit hebeln die Täter genau den Ratschlag aus, das Ziel eines Links vor dem Klick zu prüfen, ein Verhalten, das vielen Nutzern eigentlich in Fleisch und Blut übergegangen ist. Um die Erfolgsquote zu erhöhen, imitieren die Betreiber gezielt populäre Angebote. Eine Seite zu GTA 6 gibt sogar vor, das Spiel für PC zum Download anzubieten, komplett mit Installationsanleitung und Systemanforderungen. Einen PC-Download gibt es dafür aber gar nicht: GTA 6 erscheint offiziell am 19. November für PlayStation 5 und Xbox Series X/S, eine PC-Version wurde bislang nicht angekündigt.
Noch überzeugender sind laut Malwarebytes die Fälschungen bekannter Windows-Tools. Für den VLC Media Player zeigt die gefälschte Seite die korrekte aktuelle Version und Download-Adresse an, der Klick-Handler der Webseite leitet aber auch hier zum Affiliate-Download von Download Studio um. Die Analysten betonen dabei, dass Download Studio an sich keine Schadsoftware ist. 2020 hatte allerdings ein Update der Software einmal Malware namens FakeMBAM installiert, eine als Malwarebytes getarnte Schadsoftware, nachdem Angreifer die Update-Server des Herstellers kompromittiert hatten. Im Zweifel geht es den Drahtziehern hinter der aktuell beobachteten Kampagne also in erster Linie darum, über Affiliate-Downloads Geld zu verdienen.
So erkennst du unsichere Downloads
Nach dem Download solltest du die digitale Signatur der Datei prüfen. Führt ein Klick auf „VLC herunterladen" zu einer Datei, deren Eigenschaften „Download Studio" als Titel nennen, handelt es sich offensichtlich nicht um die gewünschte Software, auch wenn Angreifer solche Angaben natürlich beliebig fälschen können. Achte deshalb auf den gesamten Download: Kam er von einer vertrauenswürdigen Webseite, und stammt die Signatur vom erwarteten Hersteller? Am sichersten ist es, Software direkt von der Herstellerwebseite herunterzuladen, statt auf Links aus Suchmaschinen-Werbeanzeigen zu klicken. Die Download-Ziele solcher Kampagnen können sich zudem jederzeit ändern und künftig direkt auf Schadsoftware verweisen, wie es Anfang Mai bei kompromittierten Daemon-Tools-Lite-Installern der Fall war.