Bösartige Anzeigen auf Erotikseiten werden meist nicht vom Seitenbetreiber platziert. Sie kommen durch dieselben automatisierten Werbeleitungen, die jede kommerzielle Website benutzt, und sie kommen, weil diese Leitung Platz an den Höchstbietenden verkauft, ohne dass jemand hineinschaut, was in der Anzeige steckt.
Diese Leitung zu verstehen ist das, was dich eine feindselige Anzeige von einer gewöhnlichen unterscheiden lässt. Fast jedes Angriffsmuster weiter unten ist eine Variation einer einzigen Idee: die Anzeige wie einen Teil des Videoplayers aussehen zu lassen — oder wie einen Teil deines Betriebssystems.
Warum tragen Erotikseiten so viel Malvertising?
Weil die Ökonomie sie ans untere Ende des Werbemarkts drückt, und am unteren Ende sitzt der Betrug.
Große Werbenetzwerke lehnen Erotik-Werbeplätze in der Regel ab. Damit kaufen die Betreiber bei kleineren Börsen und Wiederverkäufern, wo eine Einblendung durch mehrere Zwischenhändler laufen kann, bevor sie gefüllt wird. Jeder Sprung fügt eine Partei hinzu, die das Motiv nicht geprüft hat und dafür kaum zur Verantwortung gezogen werden kann.
Angreifer nutzen das mit Cloaking aus: Das Motiv, das sie zur Prüfung einreichen, verhält sich normal, und die bösartige Fassung zündet nur bei Besuchern, die auf ein Zielprofil passen — ein bestimmtes Land, eine bestimmte Browserversion, ein Erstbesucher oder jemand, der außerhalb der Bürozeiten vorbeikommt. Prüfern und automatischen Scannern wird die saubere Fassung ausgeliefert. Dir die andere.
Wie sehen die verbreiteten Angriffsmuster aus?
Sie ballen sich zu einer kleinen Zahl wiederkehrender Formen. Die Formen zu lernen bringt mehr, als sich einzelne Maschen zu merken.
| Muster | Was du siehst | Was es eigentlich will |
|---|---|---|
| Falsches Player-Overlay | Ein "Play"- oder "HD"-Knopf über dem echten Video | Einen Klick, der einen Download oder einen neuen Tab öffnet |
| Codec- / Plugin-Aufforderung | "Dein Videoplayer ist veraltet. Zum Fortfahren aktualisieren." | Dass du ein Installationsprogramm ausführst |
| Falsches CAPTCHA | "Klicke auf Zulassen, um zu beweisen, dass du kein Roboter bist" | Die Berechtigung für Browser-Benachrichtigungen |
| Browser-Locker | Vollbildwarnung, Alarmton, "rufen Sie diese Nummer an" | Einen Anruf bei einem betrügerischen Callcenter |
| Erzwungene Weiterleitung | Die Seite springt beim Scrollen ohne Klick woandershin | Traffic, der an die nächste Masche in der Kette weiterverkauft wird |
| Popunder | Ein Fenster öffnet sich hinter dem, das du benutzt | Einblendungen und eine zweite Chance auf alles Obige |
| Falscher Systemhinweis | Ein Dialog im Stil von Windows oder macOS | Den Download einer ausführbaren Datei oder einen Support-Betrug |
Das falsche CAPTCHA verdient eine eigene Erwähnung. Die Berechtigung für Benachrichtigungen zu erteilen gibt dieser Domain die Möglichkeit, dir unbegrenzt Nachrichten auf Desktop oder Handy zu schicken, außerhalb des Browserfensters und im Stil von Systemmeldungen. Es ist einer der wenigen Angriffe, die noch lange funktionieren, nachdem du den Tab geschlossen hast.
Woran erkennst du eine bösartige Anzeige?
Prüfe, wo das, womit du interagieren sollst, tatsächlich zu Hause ist.
- Ein echter Videoplayer bittet dich nie, etwas zu installieren. Moderne Browser dekodieren H.264 und VP9 von Haus aus. Jede Meldung über einen "fehlenden Codec" auf einer Streaming-Seite ist feindselig, ausnahmslos.
- Ein echter Systemdialog kann nicht innerhalb einer Webseite erscheinen. Warnungen des Betriebssystems werden vom OS gezeichnet, nicht im Seitenbereich gerendert, während die Browserleisten drumherum noch sichtbar sind.
- Dein Virenscanner läuft nicht in deinem Browser. Ein "Scan", der Ergebnisse in einem Tab anzeigt, hat nichts gescannt.
- Prüfe das Ziel, bevor du klickst. Fahr mit der Maus über einen Link und lies die Statuszeile. Overlay-Knöpfe zeigen meist auf eine fremde Domain.
- Echte Knöpfe wandern nicht. Springt der "Play"-Knopf zwischen zwei Seitenaufrufen an eine andere Stelle, wird er von dem eingespielt, was diese Einblendung gewonnen hat.
- Nichts Seriöses arbeitet mit einem Countdown. Dringlichkeit gibt es, um dich am Nachprüfen zu hindern.
Was tust du, wenn du schon geklickt hast?
Arbeite diese Liste der Reihe nach ab. Die ersten drei Punkte zählen am meisten.
| Situation | Sofortmaßnahme |
|---|---|
| Seite lässt sich nicht schließen, zeigt eine Warnung | Browser über den Task-Manager oder "Sofort beenden" abwürgen, dann neu öffnen und die Sitzungswiederherstellung ablehnen |
| Du hast Benachrichtigungen erlaubt | In den Browsereinstellungen unter Website-Berechtigungen widerrufen; auch die Benachrichtigungsliste des Betriebssystems prüfen |
| Eine Datei wurde heruntergeladen | Nicht öffnen. Löschen, dann den Papierkorb leeren |
| Du hast ein Installationsprogramm ausgeführt | Vom Netz trennen und das Gerät als kompromittiert behandeln — siehe den Malware-Leitfaden unten |
| Du hast die Nummer angerufen | Geh davon aus, dass alles, was du installieren solltest, Fernzugriff gewährt; diese Sitzung muss widerrufen und das Gerät untersucht werden |
| Du hast Kartendaten eingegeben | Wende dich direkt an deinen Kartenherausgeber, über die Nummer auf der Karte und nicht über eine Nummer von der Seite |
Die Sitzungswiederherstellung abzulehnen ist wichtig. Browser-Locker überleben ein Abwürgen, wenn der Browser hilfsbereit genau den Tab wieder öffnet, der das Problem verursacht hat.
Welche Schutzmaßnahmen verringern die Angriffsfläche wirklich?
Grob danach sortiert, wie viel sie für wie wenig Aufwand entfernen:
| Schutz | Was er verhindert | Grenzen |
|---|---|---|
| Browser aktuell halten | Drive-by-Exploits, die keinen Klick brauchen | Nützt nichts gegen Social Engineering |
| Ein Inhaltsblocker | Den größten Teil der Auslieferung durch Dritte, inklusive Popunder | Kann keine Nutzlasten von der Domain der Seite selbst blocken |
| Benachrichtigungsanfragen global ablehnen | Die gesamte Familie der falschen CAPTCHAs | Legt auch legitime Anfragen still |
| Drittanbieter-Cookies blockieren | Seitenübergreifendes Profiling, das die Zielsteuerung füttert | Keine Schutzmaßnahme gegen Schadsoftware |
| Automatische Downloads abschalten | Stilles Ablegen von Dateien beim Vorbeisurfen | Du musst trotzdem nicht öffnen, was du bewusst herunterlädst |
| Getrenntes Browserprofil | Hält Berechtigungen und Cookies auf einen Kontext begrenzt | Kein Schutz gegen ausgeführten Code |
| Konto ohne Administratorrechte | Begrenzt, was ein Installationsprogramm systemweit ändern kann | Auf privaten Rechnern unbequem |
Zwei Dinge gehören klar gesagt. Erstens macht keine Blocker-Konfiguration das Ausführen einer unbekannten Programmdatei sicher — beim Download beginnt der eigentliche Schaden, und keine Filterung nimmt dir die Fähigkeit, diesen Fehler zu machen. Zweitens sagt aggressive Werbung nichts darüber aus, ob die Betreiber einer Seite selbst feindselig sind; meist heißt es nur, dass sie ihre Werbeplätze an eine Börse verkauft haben, die nicht nachgeprüft hat.