Vorderste Verteidigungslinie
Tab-Browsing und Suchfelder öffnen Adware und Spyware neue Türen
Die Entwickler von Adware und Spyware sind ständig auf der Suche nach neuen Transportmöglichkeiten für die weit verbreiteten Internet-Bedrohungen. Sie versuchen, sich auf den Computern der Benutzer einzuschleichen – ohne weitere Kosten und Aufwand aber mit hoher Marktdurchdringung. Der Microsoft Windows Internet Explorer ist aufgrund seiner großen Popularität und seines Marktanteils ein beliebtes Ziel. Ende 2006 hat Microsoft den Internet Explorer 7 (IE7) veröffentlicht, die aktuelle Version des weltweit am häufigsten genutzten Internet-Browsers. Die Verbreitung ließ aufgrund der massiven Verteilung des IE7 über das automatische Windows Update nicht lange auf sich warten.
Obwohl Microsoft die Sicherheitsfunktionen des neues Browsers lautstark anpreist, enthält der IE7 einige Funktionen, die Adware-/Spyware-Unternehmen leicht ausnutzen können. Dabei handelt es sich nicht um herkömmliche Sicherheitslücken wie Pufferüberlauf oder Code-Lücken, sondern um benutzerdefinierbare Funktionen, über die sich Spyware und Adware in den Browser einschleichen kann. Zu den riskanten Funktionen zählen das Tab-Browsing und die Schnellsuchfelder.
TabJacking
Die meisten Internet-Browser bieten heutzutage die Möglichkeit des Tab-Browsing. Mozilla Firefox beispielsweise verfügt bereits seit einiger Zeit über diese Funktion. Die innovative Browsing-Funktion ermöglicht dem Benutzer, mehrere Registerkarten mit bestimmten Websites nebeneinander zu öffnen. Innerhalb eines einzigen Browser-Fensters kann der Benutzer mehrere Websites öffnen und mit einem Klick auf die jeweilige Registerkarte schnell zwischen ihnen wechseln. Aufgrund der Leichtigkeit, mit der neue Registerkarten geöffnet werden können, vermutet Trend Micro, dass Adware in Zukunft anstelle der typischen Popups Registerkarten verwenden wird, die sie sozusagen "entführt". Ed English, Chief Technology Officer im Bereich Spyware-Schutz bei Trend Micro, nennt diese Art der Registerkartennutzung "TabJacking", eine Kombination aus der englischen Bezeichnung für Registerkarte (tab) und einem Teil des englischen Wortes für Entführung (hijacking). Mithilfe von TabJacking, so erläutert er, könnten Adware-Unternehmen resistente, werbebasierte Registerkarten erstellen, die immer wieder angezeigt werden, sobald der Browser gestartet wird – selbst, wenn alle Registerkarten geschlossen wurden.
Virenspezialisten bei Trend Micro haben ein Programm entwickelt, mit dem sich beweisen lässt, wie einfach TabJacking durchgeführt werden kann. Die unten stehende Abbildung zeigt, wie registerkartenbasierte Adware aussehen könnte.
Entwenden des Suchfelds
Bisher konnte man Suchmaschinen durch Eingabe des jeweiligen URLs in die Adressleiste des Browsers öffnen (z.B. www.google.de, www.yahoo.de, www.lycos.de, usw.) Einige Browser, wie z.B. der Internet Explorer 6, enthalten eine Suchschaltfläche, über die eine Suchmaschine direkt aus dem Browser-Fenster gestartet werden kann, allerdings mit begrenzter Flexibilität. Browser der neuesten Generation haben diese Funktion optimiert und Suchfelder direkt integriert. Mithilfe dieser bequemen Funktion können Benutzer Suchbegriffe direkt in den Browser eingeben, statt zuerst eine Suchmaschine zu starten. In Internet Explorer 7 heißt diese Funktion Schnellsuche. Bisher haben Adware-Unternehmen Vorgängerversionen des Explorers durch das Umleiten der Suchschaltfläche auf Adware-Such-Engines angegriffen. Trend Micro rechnet mit einer neuen Art von Angriff auf die Suchfunktion: das Entwenden des Suchfelds. Über ein komprimiertes Suchfeld im Internet Explorer 7 werden Anfragen des Benutzers and Adware-bezogene Suchmaschinen weitergeleitet. Mithilfe dieser Daten können Adware-Unternehmen dann Profit schlagen.
Die Entwicklung von TabJacking und dem Entwenden des Suchfelds
Die Ausnutzung von Tab-Browsing und Schnellsuche durch Spyware wird sich entwickeln und als lukrativ erweisen – ein verlockendes Ziel für Spyware- und Adware-Unternehmen.
- Beim von Vorgängerversionen des Internet Explorers bekannten Homepage-Hijacking konnten die Adware-/Spyware-Unternehmen nur Profit schlagen, wenn die Homepage geladen wurde. Durch das Steuern von einer oder mehreren Browser-Registerkaten im IE7 haben die Drahtzieher mehr Zeit und Möglichkeit, Benutzer anzulocken.
- Schätzungen zufolge werden 30 - 50 % der Suchläufe über die Schnellsuche ausgeführt, wenn ein Suchfeld im Browser zur Verfügung steht. Das macht den Internet Explorer 7 zu einem attraktiven und leicht ausbeutbaren Adware-Kanal.
Trend Micro wird weiterhin die Entwicklung von TabJacking und dem Entwenden des Suchfeldes beobachten,und die entsprechenden Sicherheitsmaßnahmen bereitstellen.
