Phisher rennen bei Social Networks offene Türen ein

Der August brachte Bewegung in Kaspersky Labs monatliches Ranking der 20 am weitesten verbreiteten Schadprogramme. Seit der kürzlichen Umstellung seiner Analyseverfahren unterteilt der Sicherheitsanbieter die von ihm aufgestöberten digitalen Störenfriede in zwei Kategorien: Ein Listing zeigt die am weitesten verbreiteten Schad- und Werbeprogramme, berechnet nach der Anzahl der Computer, auf denen sie entdeckt wurden, während ein zweites Ranking die Malware-Exemplare aufführt, mit denen Anwendersysteme insgesamt am häufigsten infiziert waren.

Im ersten Ranking konnte der Trojaner DNSChanger seine Spitzenposition vom Juli mit einem dreimal so hohen Infektionswert behaupten, allerdings kamen hier insgesamt 16 neue Schadprogramme hinzu, die der Sicherheitsanbieter erst im August in seine Viren-Datenbanken aufgenommen hatte. Dabei hat sich eine Gruppe von fünf Trojan-Downloadern gleich auf die Plätze drei bis sieben katapultiert. Insgesamt hat Kaspersky im vergangenen Monat 28.940 schädliche und potenziell gefährliche Programme sowie Adware auf Anwendersystemen aufgespürt. Das sind 8000 Exemplare mehr als im Juli, was nach Angaben der Experten auf eine beträchtliche Zunahme der Bedrohungen in "freier Wildbahn" schließen lässt.

In der zweiten Schädlingsaufstellung hat sich insgesamt weniger getan, doch auch hier haben sich immerhin sieben Neuzugänge eingeschlichen - und damit die Positionen innerhalb des Rankings teilweise stark verschoben.

So sackte der Spitzenreiter des Vormonats, "Virut.q", um 13 Positionen ab, während der im Juli zweitplatzierte "Fujack.ap" ganz aus den Top 20 verschwunden ist. Dafür schob sich mit "Nimda" ein unangenehmer Wurm-Veteran auf den ersten Platz. Der im Jahr 2001 entwickelte multifunktionale Schädling, der schon im Juni erneut in Kaspersky Labs Monatsstatistik auftauchte, verbreitet sich nicht nur via E-Mail-Traffic, sondern auch über Netzressourcen und versucht zudem, IIS-Server im Netz anzugreifen. Nach Vermutungen der Malware-Experten rührt Nimdas anhaltende Vitalität daher, dass sich der betagte Wurm noch in einem Großteil der Dateien befindet, die er im Zuge der Epidemie zwischen 2001 und 2002 befallen hatte.

Der Schädling "Trojan.Win32.DNSChanger.ech" wiederum ist in beiden August-Rankings vertreten - was laut Kaspersky Lab bedeutet, dass er seine Gestalt fortlaufend verändert und somit auf verschiedenen Computern unterschiedliche Samples existieren können.

Nationale Spam-"Flaute"

Die Spam-Versender haben im August offenbar in erster Linie ihren Sommerurlaub genossen: Nach der aktuellen Statistik von MessageLabs ist die Spam-Quote in Deutschland im vergangenen Monat von 70 Prozent (Juli) weiter auf 69,5 Prozent gesunken und liegt damit erheblich unter dem aktuellen internationalen Durchschnitt (78,2 Prozent).

Der auf Messaging-Security spezialisierte Dienstleister hat im August unter anderem zwei neue Verfahren zur Verbreitung von Werbe-Mails beobachtet. Demnach haben die Spammer mit den Picasa-Web-Alben einen weiteren kostenlosen Google-Dienst für ihre Zwecke entdeckt. Parallel dazu missbrauchten E-Müll-Versender Weiterleitungsfunktionen von Adobe Flash für das Hosting von Animationsdateien im SWF-Format (Shockwave Flash), um Web-Browser auf ihre eigenen Seiten umzuleiten. Zwar waren diese beiden Techniken zusammengenommen im August für weniger als zwei Prozent des gesamten Spam-Aufkommens verantwortlich, doch die MessageLabs-Experten befürchten, dass diese Verbreitungswege in den kommenden Monaten deutlich an Bedeutung gewinnen werden.

"Im Lauf dieses Jahres haben sich Spammer darauf konzentriert, möglichst viele kostenlose Web-Dienste von Google zu nutzen, um ihre Werbebotschaften zu verbreiten", so Mark Sunner, Chief Security Analyst bei MessageLabs. Ihm zufolge hat das verstärkte Interesse zwei Gründe: Zum einen falle es herkömmlicher Anti-Spam-Software generell schwer, die in den Spam-Mails eingebetteten Links auf Google als bedenklich zu identifizieren, da diese als legitime URLs erscheinen. Zum anderen hält es der Sicherheitsexperte für wahrscheinlich, dass diese Filter-Tools beim Blocken von E-Mails mit Google-URLs mehr Schaden als Nutzen anrichten würden.

Anders als in Deutschland nahm das weltweite Aufkommen an unerwünschten Werbe-Mails mit einem Plus von 160 Prozent drastisch zu. MessageLabs führt diese Entwicklung auf die zunehmende Aggressivität der beiden Botnetze "Srizbi" und "Cutwail" zurück, die sich im Juli und August jeweils um 20 bis 25 Prozent ausgedehnt haben. Deren jüngste Aktivitäten wiesen ein ähnliches Muster auf wie die Junkmail-Kampagnen im Juli, die im Wesentlichen auf kurze reine Textnachrichten setzten. Die erweiterte Kapazität dieser Botnets resultierte dann in einem noch größeren Spam-Volumen.

Hierzulande hatten die Spammer im August offenbar primär Dienstleister im Visier, an die mit 89,3 Prozent der größte Anteil des hiesigen E-Müll-Aufkommens gerichtet war. Aber auch der Großhandel (88,1 Prozent) und der Bildungssektor (87,8 Prozent) waren bevorzugte Zielscheiben für unerwünschte elektronische Nachrichten, ebenso die Bereiche Marketing/Medien (85,6 Prozent) sowie das Baugewerbe (85,1 Prozent).

Phisher rennen in Social Communities offene Türen ein

Weit auffallender als die Spammer hielten sich im vergangenen Monat die Online-Datendiebe zurück - laut den jüngsten Analysen von Retarus ist der Anteil an Phishing-Mails am gesamten Schad-Mail-Aufkommen in Westeuropa im August von 74,21 Prozent (Juli) auf 44,61 Prozent gesunken. Das bedeutet einen drastischen Rückgang um nahezu 30 Prozent.

Dabei setzten die Online-Datendiebe nach ihren ersten erfolgreichen Versuchen in den vergangenen Monaten offenbar weiterhin verstärkt auf die Popularität neue Web-2.0-Angebote: Die Sicherheitsforscher der SophosLabs registrierten im August nahezu sechsmal mehr Attacken auf Social Communities als noch im Juli. Phisher treffen im Umfeld sozialer Netze auf ein kontaktfreudiges Publikum - insbesondere Jugendliche halten diese Plattformen für sicher, auch wenn Unbekannte mit ihnen in Verbindung treten. Aber auch vielen Nutzern im Unternehmensbereich seien die hier lauernden Gefahren nicht bewusst, konstatiert der Sicherheitsanbieter.

Nach Angaben von Sophos werden beim Online-Datenklau ganz unterschiedliche Ansätze verfolgt. Demnach dienen gefälschte E-Mails im Namen der Community-Betreiber ebenso als Munition für Phishing-Attacken wie direkte, scheinbar private Kontakte innerhalb der Netze und manipulierte Inhalte. So hinterlegten Phisher beispielsweise im häufig attackierten MySpace auf den Profilen von Prominenten ein Hintergrundbild, das User auf eine gefälschte Site weiterleitete, wo sie dann zum Download einer Software zur Video-Wiedergabe aufgefordert wurden. Stattdessen installierte sich jedoch automatisch Schadcode auf ihrem PC.

Grundsätzlich rät Sophos davon ab, sich mit einem Standard-Passwort bei mehreren Internet-Dienstleistungen anzumelden, das Online-Datendiebe in einem schlecht gesicherten Web-2.0-Angebot ausspähen könnten. Auf diese Weise sei es einem 19jährigen Übeltäter gelungen, an zahlreiche fremde Nutzernamen und Passwörter zu gelangen, die er dann zum Einkaufen in einem Online-Shop missbrauchte und so einige hundert Personen um viel Geld brachte, berichtet der Sicherheitsanbieter.

"Phishing-Mails innerhalb von Social Networks sind noch neu und umgehen E-Mail-Filter im Unternehmensnetz oder auf dem Endgerät", warnt Christoph Hardy, Security Consultant bei Sophos. Häufig mangle es den sozialen Netzen noch an hinreichenden Sicherheitsvorkehrungen - allerdings, so kritisiert der Berater, würden bereits vorhandene Optionen von vielen Anwendern auch nicht genutzt.

Aus Sicht der Experten bietet das neue soziale Internet Phishern im Vergleich zur E-Mail noch große Entfaltungsmöglichkeiten, denn die Nutzung der Social Communities nimmt weiterhin zu. Neben den in Deutschland bereits etablierten Angeboten wie StudiVZ, SchülerVZ, Stayfriends, Wer-kennt-wen oder Xing verzeichnen auch erst vor kurzem in Deutschland eingeführte Plattformen wie LinkedIn und das weltweit größte Netzwerk Facebook enorme Wachstumsraten. Sophos empfiehlt Mitgliedern von Social Networks dringend, die von den Betreibern bereitgestellten Sicherheitseinstellungen zu nutzen. Dazu gehöre beispielsweise die Option, anderen Mitgliedern nur dann das Versenden einer Einladung zu erlauben, wenn diese die E-Mail-Adresse kennen oder in der Kontaktliste der eigenen, bereits bestätigten Kontakte erscheinen. Generell raten die IT-Sicherheits-Experten zu erhöhter Vorsicht bei der Kontaktaufnahme unbekannter Internet-Nutzer und empfehlen, persönliche Informationen in diesen Communities nur für ausgewählte, bekannte Mitglieder freizuschalten. (kf)