Drive-by-Download

aus Wikipedia, der freien Enzyklopädie
Wechseln zu: Navigation, Suche

Ein Drive-by-Download ist das unbewusste (englisch drive-by ‚im Vorbeifahren‘) und unbeabsichtigte Herunterladen (Download) von Software auf einen Rechner. Unter anderem wird damit das unerwünschte Herunterladen von Schadsoftware allein durch das Aufrufen einer dafür präparierten Webseite bezeichnet.[1] Dabei werden Sicherheitslücken eines Browsers ausgenutzt, denn definitionsgemäß ist mit HTML-Inhalten oder Browser-Skriptsprachen ein Zugriff außerhalb der Browser-Umgebung nicht möglich.[2]

Manipulation von Webseiten[Bearbeiten | Quelltext bearbeiten]

In vielen Fällen werden von den Angreifern gezielt Webseiten ohne Wissen der Betreiber manipuliert, etwa indem bekannte Schwachstellen bei verbreiteten Webanwendungen genutzt werden.[3][4] Danach genügt allein der bloße Aufruf einer solchen Webseite auch ohne irgendwelche Aktionen seitens des Benutzers, damit sich dadurch die Schadsoftware automatisch (und unbemerkt) auf seinen Computer herunterlädt.[5]

Verbreitung[Bearbeiten | Quelltext bearbeiten]

IT-Sicherheits-Unternehmen berichten, dass eine Vielzahl von Webseiten durch schädliche Software infiziert sei.[6][7] Diese Methode nehme seit 2007 ständig zu und habe mittlerweile E-Mail als Hauptverbreitungsmethode für Schadsoftware verdrängt. Täglich kämen mehrere Tausend betroffene Webseiten hinzu.[8][9]

Technik[Bearbeiten | Quelltext bearbeiten]

Heute beinhalten Webseiten häufig dynamische Funktionen, die durch clientseitige Technologien wie JavaScript (auch als Teil von Ajax), Java, Adobe Flash realisiert sind. Diese Techniken erlauben eine ständige Kommunikation zwischen Browser und Server, ohne dass der Benutzer eine Aktion durchführen muss. Dies wird unter anderem eingesetzt, um Werbebanner auszutauschen, Listen zu laden oder Daten an den Server zu übertragen. Üblicherweise werden diese Aktionen im Browser in einer Sandbox ausgeführt. Nur wenn der Browser eine Sicherheitslücke aufweist, kann Software aus dieser Sandbox direkt auf den Computer des Benutzers zugreifen. Somit ist es möglich, dass Schadsoftware ohne eine Aktion des Benutzers vom Server zum Browser und über die Sicherheitslücke im Browser auf den Computer des Benutzers gelangt.

Schutz[Bearbeiten | Quelltext bearbeiten]

Zum Schutz vor ungewollten Drive-by-Downloads hilft es, immer die aktuelle Version des Browsers zu verwenden, Plugins wie Adobe Flash sowie den Adobe Reader immer auf dem neuesten Stand zu halten oder zu deaktivieren [10]. Teilweise, insbesondere im kommerziellen Umfeld, werden diese Plugins sowie für diese bestimmte Inhalte und Scripte auch auf Ebene der IT-Administration abgeschaltet oder gefiltert. Auch Java-Plugins zu deaktivieren, gar nicht erst zu installieren oder aktuell zu halten, vermindert die Wahrscheinlichkeit eines Befalls.

Bestimmte Browser-Plug-ins führen Skripte jeweils nur nach Freigabe des Anwenders aus, etwa NoScript oder FlashBlock für Firefox.[11]

Eine weitere Möglichkeit besteht in der Verwendung einer Sandbox. Der Internetanwendung wird dabei ein definierter Speicherbereich für deren Ausführung und alle Ausgaben zugewiesen. Dadurch werden andere Speicherbereiche vor dem Überschreiben geschützt und das Ausnutzen von Speicher- und Pufferüberläufen deutlich erschwert.

Die Nutzung von Internetsoftware mit eingeschränkten Benutzerrechten erhöht ebenfalls die Sicherheit. Jedoch können bestimmte Sicherheitslücken trotz eingeschränkter Rechte einem Angreifer das Ausführen beliebigen Schadcodes ermöglichen, wodurch der Angreifer schließlich Administratorprivilegien erlangen kann.

Einzelnachweise[Bearbeiten | Quelltext bearbeiten]

  1. spiegel.de: „Unter einem Drive-by versteht man die Beeinflussung eines Rechners oder sogar die Infizierung des PC durch den bloßen Besuch einer verseuchten Webseite.“
  2. Windows IT library: JavaScript security, Juni 2004
  3. golem.de: Groß angelegter Hacker-Angriff auf europäische Webseiten
  4. heise.de: Report: Bösartige Webseiten sind wählerisch
  5. heise.de: Zero-Day-Exploit für Internet Explorer breitet sich aus
  6. http://www.usenix.org/events/hotbots07/tech/full_papers/provos/provos.pdf
  7. Google searches web's dark side. In: BBC News, 11. Mai 2007. 
  8. heise.de: Sophos: 30.000 neu infizierte Webseiten pro Tag.
  9. spiegel.de: Virenjäger Kaspersky: „[…] die Zeit der E-Mail-Viren ist vorbei. […] Heute braucht niemand mehr eine E-Mail, um einen Virus in Umlauf zu bringen. Kriminelle verteilen ihre Viren über gekaperte Web-Seiten: Da reicht schon der Besuch, um den Rechner zu infizieren. Sie verbergen ihre Programme in Multimediadateien und bringen die über Social Networks in Umlauf. Sie hinterlassen Links in Gästebüchern oder bei Wikipedia, und wenn man darauf klickt, fängt man sich etwas.“
  10. heise Security Zweifelhafte Antiviren-Produkte (25. Oktober 2008)
  11. Bundespolizei-Virus.de Drive-by-Downloads - schützen Sie sich