Vorgehensweise der Täter
Foto: Ronald Wiltscheck
Die Angreifer versuchen Schadcode zu verschleiern, indem sie den ASCII-Text durch Hexadezimal-Werte ersetzen. Hierdurch kann der Browser den Code immer noch einwandfrei verarbeiten. Für Menschen und Suchmaschinen wird er jedoch unleserlich. Diese Vorgehensweise ermöglicht es den Tätern, Google-Filter zu unterlaufen. In dem Hexadezimal-Code versteckt sich HTML-Code, der in die resultierende Seite eingebettet wird. Man spricht dann von Cross-Site-Scripting.
Klickt der Google-Nutzer das Suchergebnis an, öffnet sich die gewünschte Webseite, jedoch ergänzt durch ein Skript von einer indischen Domain. Offenbar verwertet Google die injizierten Inhalte für die Bewertung der Suchbegriffe. Die manipulierten Links werden von den Angreifern in Blogs, Foren und gecrackten Webseiten veröffentlicht und erhalten so eine gute Bewertung für die gewünschten Suchbegriffe. In einem Beispiel sieht es so aus, als ob eine wenig genutzte Seite einer amerikanischen Universität so manipuliert wurde, dass bestimmte Suchbegriffe in Suchmaschinen weit oben erscheinen.
Der von der indischen Seite nachgeladene Script-Code ist ebenfalls hochgradig verschleiert. Die Seite wird bei dieser Vorgehensweise nicht statisch erzeugt, sondern es wird zwischen verschiedenen Infektionsmaschen unterschieden. Bei Tests stießen G Data-Experten auf infizierte Flash-Dateien, angebliche Video-Codecs und falsche Antiviren-Software. Die verschiedenen Maschen führten aber letztlich immer zum Download der gleichen Schaddatei. (rw)