Das oberste Google-Ergebnis für ein kostenloses Windows-Tool könnte gefälscht sein - über 70 Nachahmerseiten verteilen Malware
Sie wollen ein kostenloses Windows-Tool - sagen wir PowerToys oder CrystalDiskMark, um ein Laufwerk zu prüfen -, also tippen Sie den Namen bei Google ein und klicken auf das oberste Ergebnis. Genau diese alltägliche Gewohnheit wird gerade gegen Menschen eingesetzt. Check Point Research hat mehr als 70 nachgemachte Websites aufgespürt, die beliebte Windows-Tools imitieren, darunter PowerToys, CrystalDiskMark, EasyBCD, Wintoys, Lively Wallpaper und SignalRGB. Viele der Fälschungen ranken über den echten Projektseiten in den Suchergebnissen. Das Schema kam letzte Woche ans Licht, als der Entwickler eines dieser Tools bemerkte, dass die Seite eines Fremden seine eigene übertraf.
Was diesen Angriff geduldig und heimtückisch macht, ist der Aufbau. Eine gefälschte Seite verhält sich zunächst korrekt - ihr Download-Button verweist auf die echte Software, was Vertrauen aufbaut und in Googles Rankings steigt. Sobald sie gut rankt und Besucher anzieht, tauschen die Betreiber diesen Button still gegen Malware aus. Ein verstecktes Skript leitet jeden Besucher durch eine Filterschicht (ein "Traffic Distribution System"), das anhand von Standort, Browser und Anzeichen dafür, ob Sie wie ein Sicherheitsforscher aussehen, entscheidet, wer die saubere Datei und wer die Schadsoftware bekommt. Zu der von Check Point gefundenen Malware gehören RemusStealer, der gespeicherte Passwörter, Browserdaten und Krypto-Wallets abgreift, und AnimateClipper, der eine kopierte Wallet-Adresse still gegen die des Angreifers austauscht.
Eine Regel, die sich einprägen sollte: Das oberste Suchergebnis ist nicht automatisch die offizielle Seite. Beziehen Sie kostenlose Windows-Apps aus dem Microsoft Store oder von der eigenen GitHub-Seite oder verifizierten Website des Entwicklers - nicht von der Domain, die zufällig zuerst rankt. Wirkt die Adresse leicht unstimmig, oder ist die Datei eine .exe von einer Ihnen unbekannten Quelle, schließen Sie den Tab.
Tendvane umgeht die ganze Falle, indem es Ihre Apps über Windows' eigenen Paketmanager (winget) installiert und aktualisiert, sodass, was auf Ihrem PC landet, aus einer geprüften Quelle stammt statt aus einem Suchergebnis, auf das Sie sich verlassen mussten.