Malvertising: Wenn die Anzeige selbst der Angriff ist

Was Malvertising wirklich ist

Werbung im Web kommt nicht vom Seitenbetreiber selbst. Sie wird in Echtzeit über Programmatic-Auktionen versteigert, dutzende Zwischenhändler reichen sie weiter, und nach ein bis vier Redirects landet das fertige Creative in einem Iframe auf der Seite, die du gerade liest. Jeder Redirect ist eine Gelegenheit, etwas anderes auszuspielen als das, was der Seitenbetreiber freigegeben hat.

Genau diese Komplexität nutzt Malvertising aus. Ein Angreifer kauft Ad-Space wie ein ganz normaler Kunde. Er liefert zuerst saubere Creatives, besteht die Prüfung, und schaltet dann ein paar Tage später auf den bösartigen Payload um. Oder er übernimmt den Account eines legitimen Käufers und schiebt seinen Code in laufende Kampagnen.

Das Ergebnis ist dasselbe. Eine seriöse Website zeigt dir einen Banner, der dich angreifen kann. Die Seite hat keinen Fehler gemacht. Du auch nicht. Der Angriff läuft in einem Frame ab, über den weder du noch die Seite Kontrolle haben.

Wie eine bösartige Anzeige deinen Browser übernimmt

Der Angriff läuft in vier Phasen ab, und alle vier sind durch, bevor der Banner überhaupt zu sehen ist.

Probe. Das Skript im Anzeigen-Iframe liest User-Agent, Browserversion, Plugins, Zeitzone und ein paar Geräteeigenschaften aus. Innerhalb von 50 Millisekunden weiss es, ob sich der Angriff lohnt. Firmenlaptops mit alten Browsern sind erste Wahl, private Android-Geräte werden übersprungen, bekannte Umgebungen von Sicherheitsforschern herausgefiltert.

Match. Das Skript gleicht deine Signatur mit einem Katalog von Exploits ab. Exploit-Kits wie RIG, Fallout oder die neueren Nachfolger im Stil von Magnitude halten eine Bibliothek bekannter, häufig noch ungepatchter Schwachstellen schussbereit.

Deliver. Passt ein Exploit, lädt der Iframe einen Payload der zweiten Stufe nach. Das kann ein präparierter PDF-Reader-Aufruf sein, ein WebGL-Shader oder ein JIT-Bug in der JavaScript-Engine, kurz: alles, was die Sandbox des Browsers auf deinem konkreten Build aufbricht.

Execute. Jetzt läuft fremder Code mit deinen Rechten. Er installiert einen Infostealer, einen Cryptominer oder den initialen Zugang, den später eine Ransomware-Gruppe nutzt. Der Banner zeigt sich in diesem Moment ganz normal, damit dir nichts auffällt.

Vorfälle auf Seiten, die du kennst

Malvertising ist kein theoretisches Risiko. New York Times, BBC, MSN, AOL und die Yahoo-Startseite sind alle schon über Ad-Networks zu Malware-Verteilern geworden, in der Regel ohne es zu wissen, bis ein Sicherheitsforscher die Kampagne öffentlich gemacht hat.

Forbes hat einige Jahre lang Leser mit Ad-Blockern ausgesperrt und sie gebeten, die Blocker abzuschalten. Nachdem viele Leser das brav getan hatten, ist das Magazin innerhalb weniger Wochen zweimal über die eigenen Anzeigenflächen zum Malware-Verteiler geworden. Das Problem ist nicht der Seitenbetreiber. Das Problem ist die Lieferkette hinter der Werbung.

Warum Antivirus und Ad-Blocker nicht reichen

Klassischer Virenschutz gleicht Dateien mit Signaturen bekannter Malware ab. Malvertising liefert aber Code, der nie auf einer Festplatte gelegen hat. Der Payload läuft direkt im Speicher, oft aus einem WebAssembly-Blob, und räumt sich am Ende selbst weg. Für einen AV-Scanner gibt es im klassischen Sinn schlicht nichts zu sehen. Mehr dazu in Why Antivirus Fails.

Ad-Blocker helfen, sind aber kein Allheilmittel. Sie blockieren bekannte Ad-Server. Angreifer, die Kampagnen über legitime Networks einkaufen, stehen per Definition auf keiner Blockliste. Dazu kommt, dass viele Seiten Anzeigen mittlerweile aus der eigenen Infrastruktur ausliefern, an die Blocker nicht herankommen, ohne die Seite kaputtzumachen.

Browser werden jeden Monat gepatcht, zwischen Disclosure und breitem Rollout liegen aber oft mehrere Wochen. In genau dieser Lücke werden Exploit-Kits aktualisiert. Wenn dein Browser gestern gepatcht wurde, die Angreifer den Exploit aber schon seit vier Wochen kennen, dann waren sie vier Wochen vorne.

Browsen, ohne zur Zielscheibe zu werden

Die einzig verlässliche Verteidigung gegen Malvertising ist, den Browser von dem Gerät zu trennen, auf dem deine Daten liegen. Läuft der Browser in einer isolierten Umgebung, feuert der Exploit zwar trotzdem, trifft aber eine Wegwerf-VM, die mit deiner Session wieder verschwindet. Der Payload landet nicht auf deinem Rechner, sondern in einem Container, den die Plattform frisch aufsetzt, bevor der nächste Nutzer ihn bekommt.

Für sensibles Surfen lohnt es sich, diese Trennung zur Standardeinstellung zu machen. Recherche auf unbekannten Seiten, Nachrichten lesen, während gerade eine Kampagne läuft, ein Link aus einem Newsletter, das sind alles Momente, in denen ein isolierter Browser den Schaden im Vorfeld eindämmt. Dein Alltagsbrowser bleibt für die Seiten reserviert, auf denen du ohnehin schon eingeloggt bist.