Eine Milliarde riskanter Impressionen: Lehren aus dem Adform-Hack

Wer eine bekannte Website besucht, könnte sich über den üblichen Werbebanner ein Skript einfangen, das Kryptowährungen stiehlt. Wie schützt man sich also vor Angriffen, die über Online-Werbebanner erfolgen?

Was wir über den Diebstahl von Kryptowährungen via Adform-Anzeigen wissen

Adform, eine große Plattform für Werbung, blieb vom 26. Juli bis zum Abend des 27. Juli etwa 24 Stunden lang kompromittiert, nachdem unbekannte Angreifer den Anbieter gehackt hatten. Nur wenige Branchenfremde kennen den Namen, doch Adform stellt täglich rund 1,5 Milliarden Anzeigenimpressionen auf Zehntausenden von Websites bereit. Das bedeutet, dass jeder, der eine Website besucht, die Adform-Anzeigen schaltet, angegriffen werden könnte.

Die Angreifer versuchten nicht, Malware zu installieren. Stattdessen führten sie im Browser des Opfers ein Skript aus, das alle drei Sekunden die Zwischenablage überprüfte und, wenn festgestellt wurde, dass die Adresse einer Krypto-Wallet kopiert wurde, diese gegen die Wallet-Adresse der Angreifer austauschte. Wenn also jemand eine Website mit der bösartigen Anzeige in einem Browser-Tab geöffnet hatte und eine Krypto-Transaktion in einem anderen Tab oder in einer speziellen App vornahm, könnte das Geld stattdessen in den Taschen der Angreifer gelandet sein. Die Inhaber von Adform haben den Angriff erkannt und das Problem behoben. Es kann jedoch nicht garantiert werden, dass sich ein ähnlicher Vorfall nicht wiederholt – deshalb sollte jeder Benutzer sich vor "Malvertising" (Schadwerbung) schützen. Lies unsere Tipps am Ende dieses Beitrags.

Was wir über den Angriff auf Adform wissen

Es gibt nicht viele Informationen, da die offizielle Erklärung des Unternehmens nur das Ereignis und den Zeitpunkt des Vorfalls beschreibt, ohne die Ursache des Vorfalls zu benennen. Unabhängige Forscher haben technische Details gefunden, die zeigen, wie normale Benutzer ins Visier genommen wurden. Dies erklärt aber nicht, wie Adform selbst überhaupt gehackt wurde.

Fest steht, dass die Angreifer ihren eigenen Code in das JavaScript-Snippet einschleusten, das auf jeder Website mit Adform-Anzeigen geladen wurde. Immer wenn eine Anzeige angezeigt werden sollte, lud das Skript vom Adform-Server die richtige Anzeige herunter und zeigte sie an – doch die Angreifer hatten eine Reihe bösartiger Funktionen hinzugefügt: Die Skript überwachte die Zwischenablage, sendete Daten über die Website, die aufgerufen wurde, sowie die IP-Adresse des Opfers an den eigenen Server zurück und tauschte die Adressen von Bitcoin-, Ethereum- und Tron-Wallets aus.

Es genügte, wenn eine beliebige Website mit von Adform geschalteten Anzeigen in einem Browser-Tab geöffnet war, damit dies funktionierte. Dabei spielte es keine Rolle, um welche Art von Website es sich handelte, wie die Werbung aussah oder zu welchem Werbetreibenden sie gehörte. Wichtig war nur, ob die Website über HTTP oder HTTPS lief. Laut Adform konnte der Angriff auf einer über HTTPS geladenen Website nicht erfolgreich sein, da in diesem Fall die Verbindung zum Server der Angreifer blockiert wurde.

Das Unternehmen machte keine Angaben dazu, wie viele Benutzer betroffen waren und wie viele Websites ihre Inhalte und Anzeigen noch immer über HTTP schalten.

Schädliche Werbung gehört zum Alltag

Gefährliche Online-Werbung ist leider zu einem systemischen Problem geworden. Und wir sprechen hier nicht nur von dubiosen Anzeigen für Nahrungsergänzungsmittel oder Glücksspiel-Werbung – wir meinen damit auch Anzeigen, die Malware verbreiten oder auf Websites führen, die Zahlungsinformationen und andere wertvolle Daten stehlen sollen. Angreifer haben dafür eine Infrastruktur im industriellen Maßstab aufgebaut und verwenden verschiedene Ansätze.

  • Hacking und Kompromittierung von Ad-Servern. Adform ist kein Einzelfall: Angreifer haben unter anderem bereits die Ad-Server von Revive gehackt und Malware über Anzeigen auf PornHub verbreitet.
  • Diebstahl der Werbekonten legitimer, seriöser Marken. Es genügt, ein Passwort von jemandem im Marketing zu stehlen. Anschließend schalten die Cyberkriminellen Anzeigen, in denen sie sich als das von ihnen gehackte Unternehmen ausgeben, und verbreiten gefälschte App-Updates, gefälschte Werbeaktionen und ähnliche Betrügereien. In den schlimmsten Fällen – wie bei den gehackten Konten bei adtech.de und adxpansion.com – gelang es den Angreifern, Anzeigen zu schalten, die die Opfer direkt zu automatischen Malware-Installationen (Drive-by-Downloads) weiterleiteten.
  • Anzeigen direkt kaufen. Richtig gelesen: Angreifer richten einfach ihre eigenen Werbekonten ein und schalten wie jedes andere Unternehmen, das im Internet präsent ist, Anzeigen für ihre Phishing-Websites und Malware.

Da Werbung praktisch überall geschaltet wird – auf Websites, in Apps und in Social Media – können diese Bedrohungen in so ziemlich jedem Kontext auftauchen. Variationen dieser Bedrohung finden sich sowohl auf Computern als auch auf Mobilgeräten.

So schützt du dich vor bösartiger Werbung

Die einzige Möglichkeit, dein Risiko ernsthaft zu senken, besteht darin, so viel Werbung wie möglich zu blockieren und dies mit einem Schutz vor Cyberangriffen auf all deinen Geräten zu kombinieren:

  • Verwende einen sicheren DNS-Dienst mit integrierter Inhaltsfilterung. Die Filterung blockiert die meisten bekannten Werbenetzwerke effektiv. Das Prinzip ist ganz einfach: Immer wenn dein Gerät versucht, eine Verbindung zu einem Server herzustellen, blockiert der DNS-Dienst Anfragen an bekannte Werbedomains. Dadurch wird die Werbung überall gleichzeitig deaktiviert: auf Smart-TVs, in jedem Browser und in mobilen Apps. Einige Internetanbieter bieten dies als Service an, aber eine sauberere und universellere Lösung besteht darin, sicheres DNS auf deinem Heimrouter selbst einzurichten, indem du unserer Anleitung folgst.
  • Aktiviere die Werbe- und Tracker-Blocker in deiner All-in-One-Lösung für Cybersicherheit. Wir empfehlen Kaspersky Premium. Dort wird diese Funktion als Anti-Banner bezeichnet. Diese Art von Schutz ist besonders auf Reisen wichtig, da sicheres DNS manchmal zu Verbindungsproblemen in Hotels, Restaurants und an Flughäfen führen kann.
  • Verwende den Browser-Schutz. Einfache Sicherheitssoftware kann zwar das Herunterladen und Ausführen von Malware verhindern, aber ein kleines Stealer-Skript wie das, was beim Adform-Angriff zum Einsatz kam, kann dennoch unbemerkt eindringen. Um dies zu verhindern, verwende einen Schutz, der die Vorgänge in deinem Browser analysieren kann. In Kaspersky Premium wird diese Funktion durch die Kaspersky Protection-Browsererweiterung bereitgestellt. Sie schützt vor dem Sammeln von Daten zu deinen Online-Aktivitäten, blockiert Werbebanner, sichert deine Zahlungen, schützt deine Tastatureingaben und blockiert Phishing.

Möchtest du wissen, welche anderen Risiken in Online-Werbung lauern und wie du dich schützen kannst? Mehr dazu findest du in diesen Beiträgen:

Tipps

KI besiegt CAPTCHA. Was jetzt?

Hydranten, Brücken, Fahrräder … seit über zehn Jahren müssen sich Internetnutzer immer wieder mit verschwommenen Bildern herumschlagen, um zu beweisen, dass sie wirklich Menschen sind. Aber die KI ändert auch hier die Spielregeln. Wie sieht die Zukunft der CAPTCHAs aus?

In weniger als einer Minute geknackt: (fast) jedes zweite Passwort

Wir haben unsere Studie von vor zwei Jahren über die Möglichkeit, Passwörter aus der realen Welt zu knacken, die im Darknet preisgegeben wurden, überarbeitet. Die Ergebnisse sind ernüchternd: Fast jedes zweite Passwort lässt sich in weniger als einer Minute knacken, bei drei von fünf genügt weniger als eine Stunde. Wie können wir uns von unsicheren Passwörtern frei machen?

  • Für alle anderen Länder