Original-URL des Artikels: https://www.golem.de/news/onlinewerbung-forscher-stoppen-monatelange-malvertising-kampagne-1612-124928.html    Veröffentlicht: 07.12.2016 14:07    Kurz-URL: https://glm.io/124928

Onlinewerbung

Forscher stoppen monatelange Malvertising-Kampagne

Über eine Malvertising-Kampagne ist in den vergangenen Monaten Schadcode verteilt worden. Die Macher des Stegano-Exploit-Kits versteckten dabei unsichtbare Pixel in Werbeanzeigen und nutzen Exploits in Flash und dem Internet Explorer.

Die Sicherheitsfirma Eset hat eine über mehrere Monate andauernde Malvertising-Kampagne entdeckt. Die bösartigen Werbeanzeigen enthielten Hinweise auf das Programm Browser Defence und das Screenshot-Tool Broxu.

Die Malware wird im RGB Alpha-Channel der Werbeanzeigen ausgeliefert und ist damit für das Auge kaum zu erkennen. Damit der Exploit gelingt, müssen Nutzer eine verwundbare Version von Flash installiert haben. Außerdem wird die Sicherheitslücke CVE-2016-0162 im Internet Explorer ausgenutzt. Nutzer anderer Browser scheinen von der Kampagne nicht betroffen zu sein. Eine angepasste Version des Besucherzählers Countly wird genutzt, um den im Bild versteckten Schadcode auszuführen.

Stegano-Exploit-Kit installiert Malware

Über die vorhandenen Schwachstellen wird dann das Stegano-Exploit-Kit geladen, allerdings nur, wenn keine virtuelle Maschine, kein Packet-Capturing, Sandboxing oder eine andere Technik zur Abwehr von Infektionen erkannt wird. Das Exploit-Kit wiederum installiert dann die eigentliche Malware. Nach Angaben von Eset wurde die Malware auch von "großen Nachrichtenseiten" verteilt. Details nennt das Unternehmen aber keine.

Nach Angaben von Malwarebytes sind die Schwerpunkte der Angriffe in Großbritannien, Kanada, Australien, Spanien und der Schweiz. Die USA seien explizit ausgenommen von den Angriffen.

Stegano infizierte die Nutzer nach derzeitigem Stand mit den Malware-Familien Ursnif und Ramnit. Ursnif versucht vor allem, Zugangsdaten vom Rechner der Nutzer abzugreifen und Dateien zu kopieren. Ramnit kann genutzt werden, um Screenshots aufzunehmen, Daten zu extrahieren und Dateien auszuführen.

Stegano soll bereits seit 2014 aktiv sein, hat bislang aber wenig öffentliche Aufmerksamkeit bekommen. Die aktuelle Malware-Kampagne soll etwa seit Oktober 2016 laufen. Eset macht leider keine Angaben zu den Werbenetzwerken, die die Malware verteilt haben.  (hg)


Verwandte Artikel:
Malware: Pornhub verteilte monatelang Fake-Browserupdates   
(13.10.2017, https://glm.io/130600 )
Kernel: Microsoft patcht Code-Execution-Lücke im Kernel   
(14.02.2018, https://glm.io/132759 )
Zertifizierungsstellen: Microsoft wirft Wosign und Startcom aus Windows 10   
(09.08.2017, https://glm.io/129401 )
Adobe: Zero-Day in Flash wird ausgenutzt   
(02.02.2018, https://glm.io/132558 )
River City Media: Spammer vergessen 1,4 Milliarden Mailadressen im Netz   
(07.03.2017, https://glm.io/126566 )

© 1997–2020 Golem.de, https://www.golem.de/