Vorderste Verteidigungslinie
Spyware: Geben Sie nicht Jessica Simpson die Schuld, wenn sich Ihr Computer daneben benimmt
Was ist schlimmer als dazu überlistet zu werden, ein Programm mit Spyware im Gepäck zu installieren? Zum Beispiel ein Programm zu installieren, das nicht nur Spyware, sondern gleich eine Mischung aus mehreren verschiedenen Programmen enthält!
Verknüpfte Programme, die Spyware alleine oder im Paket mit anderer Software verteilen, gibt es bereits seit knapp zehn Jahren. Sie haben sich jedoch stetig weiterentwickelt und sind heute bedrohlicher denn je. Dies verdeutlicht das Beispiel des Bildschirmschoners mit der US-amerikanischen Sängerin Jessica Simpson, der als Antwort auf die Suchanfrage "Jessica Simpson" gelistet und über eine Reihe von Websites, wie z.B. godesktop.com, starpulse.com, winsite.com und celebrityscreensavers.com, verbreitet wird.
Der Bildschirmschoner ist zwar kostenlos, aber umsonst bekommt man ihn nicht! Im Gepäck des Bildschirmschoners befindet sich eine wahrhaft teuflische Kombination aus Trojanern, unbekannter Adware, Spyware und einem Dialer im Tarnkappenmodus: Programme, wie z.B. WebHancer, NewDotNet, Ezula, Mirar Toolbar, Booked Space, CASclient, VisFX, PowerStrip, Stiebar und MediaMotor.
Die Anwendungen in diesem Paket zeigen Werbe-Popups an, leiten Online-Suchanfragen und Zugriffe auf bestimmte Websites um und versuchen, Anti-Spyware-Programme zu schließen und Änderungen am Internet Explorer vorzunehmen. Mit der Installation des Bildschirmschoners heimst sich der Benutzer eine Vielzahl neuer Anwendungen ein, die alle gleichzeitig im Hintergrund ausgeführt werden und die Rechenleistung bis hin zur Instabilität beeinträchtigen. Noch schlimmer ist, dass der Bildschirmschoner kaum oder überhaupt nicht mehr deinstalliert werden kann.
Der Bildschirmschoner "Jessica Simpson" wird von Team Taylor Made, der auch andere Bildschirmschoner (z.B. 3D Lake Aquarium, Cheney's Got a Gun) und Spiele (3D Othello, Ace Racer) herstellt. Über die Verknüpfung mit dem eingebundenen Programm Media-Motor wird der Umsatz für den Bildschirmschoner "Jessica Simpson" generiert. Zusammen mit anderen Partnernetzwerken, wie z.B. Dollar Revenue (früher Teil des Jessica-Simpson-Bildschirmschonerpakets) und I-Frame Cash, zählt Media-Motor zu den bekannteren Namen im Spyware-Bereich, die über ein einziges Partnerabkommen mehrere unerwünschte Anwendungen installieren.
"Die vor Kurzem erfolgten Umstrukturierungen in den Partnernetzwerken haben zu neuen Modellen von Spyware-Installationen geführt," so Anthony Arrott, verantwortlich für die Spyware-Forschung bei Trend Micro. "Dies führt dazu, dass auch Personen mit geringen oder keinen Programmierkenntnissen ein Maximum an neuartigen Partnernetzwerken miteinbeziehen können. Dem Anbieter winken hohe Umsätze, doch der bedauernswerte Endbenutzer sitzt vor einem Computer, der immer weniger Leistung bringt oder die Arbeit sogar ganz einstellt."
WebHancer, eines der Spyware-Programme im Paket mit dem "Jessica Simpson"-Bildschirmschoner, zeigt, wie diese spezielle Malware funktioniert. (WebHancer wird auf ähnliche Weise zusammen mit ABC Scrabble von 2mgames.com vertrieben.)
WebHancer installiert sich ohne das Wissen oder die Zustimmung des Benutzers und aktiviert sich durch die Installation "offizieller" Software, wie z.B. dem "Jessica Simpson"-Bildschirmschoner. Durch die Installation von WebHancer werden kritische Registrierungsschlüssel für Windows Sockets manipuliert, so dass im Falle einer Deinstallation keine Verbindung mit dem Internet mehr hergestellt werden kann. Benutzerberichten zufolge wird WebHancer auch nach einer Entfernung des Programms von anderen Anwendungen wieder neu installiert.
Der Name "Jessica Simpson" wird, so George Moore von Trend Micro, häufig als Aufhänger für den Vertrieb von Adware- und Spyware-Installationen verwendet.
"Interessant ist auch, dass bei der Eingabe der Suchanfrage 'Jessica Simpson screensaver' u.a. ein gesponserter Link zurückgegeben wird, der die Adware-Anwendung Zango und die Symbolleiste MySearch, ein häufig zusammen mit Adware verknüpftes Browser Helper Object, installiert. Für diesen gesponserten Link bezahlt also jemand die AdSense Gebühren von Google. (AdSense ist ein von Google betriebenes, werbeunterstützendes Programm, das entweder pro Klick oder pro tausend angezeigter Werbebanner abrechnet.) Im Gegenzug wird bei der Installation der Adware über die Website, auf die der Benutzer umgeleitet wird, ebenfalls Umsatz generiert."
