Sicherheitsexperten von Bitdefender haben eine neue Form von Malware entdeckt, die Windowscomputer über Werbeanzeigen in den Suchergebnissen infiziert. Im Gegensatz zu vielen anderen Schädlingen verbreitet sich MosaicLoader nicht über Phishing-Kampagnen oder ungepatchte Software, sondern per Werbeanzeige. Das funktioniert tatsächlich recht einfach: Links zu der Malware tauchen oberhalb der Top-Suchergebnisse auf, wenn nach gecrackten Versionen bekannter Software gesucht wird. Diese Werbeanzeigen werden von Algorithmen ausgespielt, sodass höchstwahrscheinlich niemand außer dem Angreifer selbst weiß, dass die Anzeige mit Malware verseucht ist.
‍
Dieses Vorgehen ist tatsächlich ziemlich clever, denn mit der Zunahme an Arbeitnehmern im Homeoffice hat auch die Nutzung von gecrackter Software zugenommen. Das könnte daran liegen, dass auch private Rechner zum Einsatz kommen, auf denen notwendige Software für bestimmte Aufgaben nicht installiert ist. Hinzu kommt, dass IT- und Support-Abteilungen aus dem Homeoffice nicht so schnell greifbar sind, wenn man ein spezielles Programm für eine Aufgabe braucht. Anstatt sich an die zuständige Stelle zu wenden und eventuell warten zu müssen, ist es einfacher, sich schnell eine Raubkopie aus dem Internet herunterzuladen.
‍
Doch was kann MosaicLoader eigentlich? Laut Bitdefender kann die Malware Passwörter stehlen, Mining-Software für Krypotwährung installieren oder Trojaner einschmuggeln. Aktuell sieht es jedoch so aus, als würden die Kriminellen hinter MosaicLoader diese Fähigkeiten nicht selbst nutzen wollen. Stattdessen bauen sie ein riesiges Netzwerk auf, in dem sie so viele Geräte wie möglich infizieren, um dieses anschließend an den Meistbietenden zu verkaufen. Gegen diese Vermutung spricht allerdings, dass bereits in vielen Fällen weitere Malware wie Trojaner oder Kryptominer nachgeladen wurde.
‍
Der Schutz vor MosaicLoader wäre eigentlich recht einfach, denn die Chancen stehen nicht schlecht, dass eine gute Antiviren-Software die Malware entdeckt. Dafür müsste diese allerdings auch aktiviert sein – und wer nach Raubkopien sucht, hat solche Sicherheitsvorkehrungen offenbar häufig abgeschaltet. Das sollte man jedoch keinesfalls tun – und schon gar nicht, wenn eine Webseite explizit dazu auffordert.