Bei einer aktuellen bösartigen Kampagne locken Betrüger Opfer auf Webseiten, die scheinbar korrekte Download-Links für gesuchte Software anbieten. Am Ende landet jedoch eine ganz andere Software auf dem Rechner.
Das führen Virenanalysten von Malwarebytes in einem Blogbeitrag aus. Insgesamt 41 Webseiten mit dieser Masche haben sie entdeckt. Die nachgemachten Webseiten weisen ein weites Spektrum auf, von populären Spielen zu Tools für Windows. Am Ende sollen sie Opfer dazu bringen, den Installer der Software „Download Studio“ herunterzuladen. Wer nach Counter-Strike, Half-Life, Fallout, Roblox, PUBG, The Witcher, 7-Zip, Foxit PDF, Paint.NET, Total Commander, VLC oder VMware sucht, kann auf den gefälschten Webseiten landen.
Die Analysten führen aus, dass die Drahtzieher sich viel Mühe machen, überzeugende Fälschungen der Seiten mit korrekten Produktinformationen, Entwickler-Ressourcen und sogar echten Download-Links zu erstellen. Allerdings führen die Download-Links nicht dahin, wohin der Link bei dem Überfahren der Verknüpfung mit Maus weist. Als Beispiel nennen die IT-Forscher eine Seite, die vorgibt, Counter-Strike zum Herunterladen anzubieten. Gehen Interessierte mit der Maus über die Download-Schaltfläche, zeigt der Browser als Ziel eine echte Steam-Store-Adresse an. Nach einem Klick darauf öffnet sich jedoch nicht Steam. Das JavaScript der Webseite behandelt den Klick und schickt Besucher schließlich durch einen Affiliate-Redirect. Und der landet derzeit bei Download Studio.
Aushebeln wichtiger Sicherheitstipps
Die Täter hebeln damit einen klassischen Sicherheitstipp aus, demzufolge die Ziele von Links vor deren Anklicken genau geprüft werden sollten. Vielen liegt es quasi im Blut, darauf zu achten, was der Browser als Linkziel anzeigt, um bei unerwarteten Adressen eben nicht darauf zu klicken.
Die Wahrscheinlichkeit, dass diese Affiliate-Fallen Opfer finden, wollen die Hinterleute dadurch erhöhen, dass sie populäre Webseiten imitieren. Eine Seite zu GTA 6 gibt etwa sogar vor, einen Download des Spiels für PCs anzubieten. Sogar eine Installationsanleitung, Systemanforderung und was man sonst noch von einer echten Spiele-Download-Seite erwarten würde, findet sich dort. Einen PC-Download gibt es absehbar jedoch gar nicht: GTA 6 erscheint offiziell am 19. November für Playstation 5 und Xbox Series X/S. Eine PC-Version wurde dabei nicht angekündigt. Die Vorbestellung ist seit dem 25. Juni dieses Jahres möglich, die meisten Interessierten greifen dabei zur 100-Euro-Ausgabe. Am 27. August 2026 ist ein Vorschau-Event auf Netflix angekündigt, das um 21 Uhr deutscher Zeit stattfindet.
Die Tarnungen bei normalen Windows-Tools sind noch überzeugender, schreiben die Malwarebytes-Mitarbeiter. Etwa für den VLC Media Player zeigt die gefälschte Seite die korrekte aktuelle Version und Download-Adresse an. Der Click-Handler der Webseite wirft den Link jedoch auch hier wieder über Bord und schickt den Besucher Richtung Affiliate-Download von Download Studio.
Die Analysten legen Wert darauf, festzustellen, dass Download Studio per se keine Malware ist. Im Jahr 2020 hatte ein Update dieser Software jedoch mal eine Malware in Form von „FakeMBAM“, also eine als Malwarebytes gefälschte Schadsoftware installiert. Die Herausgeber der Software gaben jedoch an, dass sie einen Sicherheitsvorfall entdeckt hätten, bei dem Angreifer in die Update-Server eingedrungen seien. Im Zweifel geht es den Drahtziehern hinter dieser jetzt beobachteten Kampagne also darum, Geld über Affiliate-Downloads einzunehmen.
Schwierigere Erkennung unsicherer Downloads
Nach einem Download sollte daher eine Prüfung der digitalen Signatur der heruntergeladenen Dateien erfolgen. Wenn der Klick auf „Download VLC“ zu einer Datei mit Feldern in den Dateieigenschaften mit dem Titel „Download Studio“ führt, handelt es sich offensichtlich nicht um die gewünschte Datei. Allerdings können Angreifer die Informationen natürlich beliebig ausgestalten. Malwarebytes rät, auf den gesamten Download zu achten: Kam der von einer vertrauenswürdigen Webseite? Stammt die Signatur von dem Publisher, den man erwarten würde? Idealerweise sollten Interessierte daher direkt auf die Herstellerwebseiten gehen und die Software dort herunterladen und nicht etwa auf Links aus Werbeanzeigen der verwendeten Suchmaschine klicken. Die Analyse enthält noch eine Liste von Hinweisen für erfolgreiche Angriffe (Indicators of Compromise, IOC).
Die Download-Ziele können sich natürlich auch ändern und künftig auf Schadsoftware verweisen. Anfang Mai wurde etwa bekannt, dass die Daemon-Tools-Lite-Downloads auf der Hersteller-Webseite verseuchte Installer ausgeliefert hatte – Angreifern war dort eine Supply-Chain-Attacke gelungen.
(dmk)
English (US) ·