Seit Jahrzehnten erzähle ich Menschen bei Vorträgen, Schulungen und manchmal auch ungefragt beim Abendessen, wie man einen verdächtigen Link überprüft: Nicht anklicken! Erst mit der Maus drüberfahren. Dann zeigt der Browser unten das tatsächliche Ziel an. Steht im Text »paypal.de«, unten erscheint aber »paypal-kontosicherheit.ru« – Finger weg. So einfach ist das.
Und jetzt kommen irgendwelche Entwickler daher und machen mir meine schöne Schulungsfolie kaputt. Sicherheitsforscher von Malwarebytes haben 41 Webseiten entdeckt, die bekannte Programme und Spiele zum Download anbieten. Darunter VLC, 7-Zip, VMware, Total Commander, Counter-Strike oder Half-Life. Die Downloadseiten sehen erschreckend echt aus und verwenden teilweise sogar echte Informationen und Ressourcen der Originalanbieter. Der besondere Trick steckt aber im Download-Knopf: Fährt man mit der Maus darüber, zeigt der Browser tatsächlich die echte, seriöse Adresse an. Klickt man drauf, landet man trotzdem woanders.
Das funktioniert mit JavaScript. Im Link selbst steht tatsächlich die harmlose Adresse, weshalb der Browser beim Drüberfahren völlig korrekt meldet: Alles gut, hier geht‘s zu Deinem Programm. Beim Klick grätscht JavaScript dazwischen, verhindert den normalen Aufruf und schickt den Besucher über eine Weiterleitung zu einem anderen Download. Der Browser lügt also nicht. Er wird nur nach seiner Auskunft überstimmt. Der Klick wird gehijacked.
Bevor jetzt jemand meine bisherigen Sicherheitstipps verbrennt und rituelle Beerdigungsgesänge anstimmt: Das Drüberfahren ist weiterhin sinnvoll. Bei klassischen Phishing-Mails und manipulierten Links enttarnt es nach wie vor viele Betrugsversuche. Diese neue Masche funktioniert nämlich nur unter bestimmten Voraussetzungen. Man muss sich bereits auf einer entsprechend präparierten Webseite befinden, dort muss aktives JavaScript den Klick manipulieren und man muss anschließend die angebotene Software herunterladen und ausführen. Es lohnt sich also, nach dem Klick nochmal zu überprüfen, was man da eben geladen hat.
Interessant ist außerdem, was Malwarebytes noch entdeckt hat. Die umgewandelten Links leiteten einen nicht auf einen Virus oder sonstige Schadsoftware um. Das Geschäftsmodell hinter dem Ganzen sind offenbar Provisionen für vermittelte Installationen. So, wie man bei Amazon mitverdienen kann, wenn jemand über einen Link von mir zum Produkt gelangt und kaufen klickt. Die ganze Meldung ist also eher ein Lehrstück über Manipulation als der Beginn der digitalen Apokalypse.
Was also tun? Erstens: Software möglichst nicht über irgendwelche Download-Portale zusammensuchen, sondern die Webseite des Herstellers direkt und selbst aufrufen. Und ja, ein aktueller Virenscanner (auch der in Windows integrierte) bleibt sinnvoll. Er ist die zweite Leitplanke, falls man die erste überfahren hat. Eine Garantie ist er natürlich nicht.
Ich werde meinen alten Tipp deshalb weiterhin geben. Nur bekommt er einen Nachsatz. Früher galt: Erst schauen, dann klicken. Heute gilt: Erst schauen, dann klicken, dann prüfen.