Falsche Webseiten tarnen sich als originale Softwareseiten mit Adware inklusive

Ivan Kwiatkowski ist schon vor einigen Tagen aufgefallen, dass Fake-Seiten im Web aufgetaucht sind, die Webseiten von Softwareanbietern klonen und dann die Software inklusive Adaware oder Malware ausliefern. Dazu gehören KeePass, 7zip, Paint Net, Handbrake, CloneZilla, Thunderbird und andere. Bisher sind diese eher mit einer TLD fr (Frankreich) oder es (Spanien) zu finden.

Aber es sind auch einige mit *.com wie notepad2.com oder keepass.com und *.net wie unetbootin.net in der Liste zu finden. Daher kann es durchaus passieren, dass auch *.de bald folgen könnte. Die Seiten selber sehen dem Original sehr ähnlich. Heruntergeladen wird die Software dann im Bundle. Man bekommt Angebote von Drittanbietern wie zum Beispiel AVG Antivirus, die man ablehnen kann.

Aber auch die „legitim“ aussehende Software, die bei Virustotal dann ordentlich Alarm schlägt, weil sie manipuliert wurde ist dabei. Die bisherigen Seiten sind alle auf einem Server gehostet, so dass sie schnell abgeschaltet werden können. Aber das wird die kriminellen nicht davon abhalten den nächsten Server zu mieten und ihr „Angebot“ auszuweiten.

Im Prinzip ist dies nur (wieder einmal) ein Hinweis, dass man sich immer im Klaren ist, wo man Software herunterlädt. Die originale Webseite zu nehmen ist logisch. Aber auch eine originale Seite kann kompromittiert sein. Daher ist eine Überprüfung vor der Installation immer angebracht. Gerade wenn man Software über Google, Bing oder sonst wen sucht.

Seit dem Ivan mit seinem Tweet angefangen hat, sind schon viele weitere Webseiten hinzugekommen. Einer hat angefangen, diese auf Pastebin zu sammeln.