Der Download-Link sagt Steam. Ihr Klick führt woanders hin.
Fahren Sie mit der Maus über einen Link, zeigt Ihr Browser das Ziel unten in der Fensterecke an. Diese kleine graue Textzeile ist eines der wenigen ehrlichen Signale, die auf einer Webseite noch übrig sind. Einundvierzig Websites haben herausgefunden, wie man damit lügen kann.
Malwarebytes veröffentlichte die Erkenntnisse am Mittwoch. Die Seiten geben sich als Dinge aus, nach denen Menschen tatsächlich suchen - Counter-Strike, GTA VI, Fallout, Roblox, PUBG - und, aus dem eher unauffälligen Regal, VLC, 7-Zip, Paint.NET, Avast, Acronis und Recuva. Echte Screenshots, echte Produktbeschreibungen, und ein Download-Button, dessen zugrunde liegender Link tatsächlich auf die echte Steam-Store-Seite verweist. Fährt man mit der Maus darüber, sieht man Steam. Klickt man ihn, fängt JavaScript auf der Seite den Klick ab und schickt Sie stattdessen über eine Affiliate-Weiterleitung. In Malwarebytes' Worten: Der Link, den Sie sehen, ist nicht der Link, dem Sie folgen.
Was ankommt, ist ein 73 MB großer Installer für Download Studio, gültig signiert von einer Firma namens Grand Media, TOV. Windows prüft diese Signatur und findet nichts Falsches daran, weil an ihr nichts falsch ist. Eine Signatur sagt Ihnen, wer eine Datei signiert hat; sie sagt nichts darüber aus, ob diese Datei diejenige ist, nach der Sie gesucht haben. Download Studio greift auf Ihre Torrent- und Magnet-Links zu und installiert seinen eigenen Auto-Updater, und dieser Updater hat eine Vorgeschichte - 2020 erwischte Avast ihn dabei, still FakeMBAM einzuschleusen, eine Hintertür, die als Malwarebytes-Installer getarnt war und auf den erreichten PCs Kryptowährungs-Miner laufen ließ.
Die Gewohnheit, die all das aushebelt, ist kostenlos: Geben Sie die Adresse des Herstellers selbst ein, statt auf das oberste Suchergebnis zu klicken. Ist bereits etwas heruntergeladen worden, klicken Sie mit der rechten Maustaste darauf, wählen Sie Eigenschaften und lesen Sie den Tab Details - der echte Name des Programms steht dort, und es ist oft nicht der Name, der auf der Seite stand, von der Sie kamen. Tendvanes Sicherheitscheck ist für die Nachbereitung gedacht und markiert Software, die sich ohne klare Aufforderung selbst installiert hat, und seine App-Updates laufen über winget statt über irgendeine Download-Seite, die eine Suchmaschine geliefert hat.