In Zusammenarbeit mit dem
SaferSurf.com
Spyware-Labor weisen wir auf ein
Browser-Hijacker hin.
Das Schadprogramm:
EliteBar60.dll startet automatisch beim Download und registriert sich selbstständig
über den Internet Explorer bei eingeschaltetem ActiveX. Die Toolbar legt diverse
Registry-Einträge an, unter anderem in den so genannten Browser Helper Objects
(BHO). Zudem erfolgen diverse Einträge in:
SOFTWARE/Elitum/EliteToolBar.
Im Windows-Verzeichnis auf ' C: ' wird zudem ein Ordner EliteToolBar angelegt,
der weitere Ordner enthält.
Die EliteToolBar ist ein Browser-Hijacker. Das bedeutet, dass
unter anderem die Startseite des Internet Explorers verändert wird (hier: auf
www.searchmiracle.com). Außerdem werden Einstellungen geändert, die
das Verhalten beim Suchen im Netz verändern. So laufen alle Suchanfragen nur
noch über http://searchmiracle.com. Dazu kommt eine Verlangsamung der
Bandbreite, HTTPS-Seiten (verschlüsselte und sichere Websites) funktionieren
unter Umständen gar nicht mehr.
Was dahinter steckt:
Die EliteToolbar, oder kurz EliteBar, installiert sich von Searchmiracle.com,
einer Suchmaschine. Die Toolbar klinkt sich in den Internet Explorer ein und
gibt vor, eine Suchleiste für Searchmiracle zu sein. Der Nutzen der Suchmaschine
bleibt allerdings verborgen – denn alle Anfragen liefern keine Treffer.
Die Sicherheitsrisiken bei Benutzung der EliteBar gehen so
weit, dass die Leiste eine „Autofill“-Option bietet, also auf Wunsch Formularfelder
von Websites automatisch ausfüllt. Hier kann man auch Kreditkartendaten eingeben.
Ein Test ergab, dass sofort nach Ausfüllen Daten an diverse IP-Nummern und Websites
gesendet wurden.
Unter anderem ist so eine Website yieldmanager.com. Die Site
verrät nicht viel, außer ihren Besitzer: RightMedia. Diese Firma offeriert auf
www.rightmedia.com ihre Leistungen – natürlich Onlinewerbung. Man darf sich
allerdings fragen, was eine angeblich seriöse Firma, die Werbung vertreibt,
mit sensiblen Kreditkartennummern ahnungsloser Nutzer will. „Right“ ist das
nicht.
Zusammenfassung:
Die Domain searchmiracle.com wurde von „Networld One“ in Ervin Ave im US-Bundesstaat
Kalifornien registriert. Als administrativer Kontakt ist ein gewisser Bobby
Rohbani eingetragen. Über diesen findet sich im Internet natürlich nichts weiter,
als Einträge in Antiviren-Foren. Auch über Networld One schweigen sich die Suchmaschinen
mit näheren Angaben aus. Die Domain networldone.com ist eine Parkdomain und
gehört dem Provider Network Solutions (NSI). Registriert wurde sie von einer
Werbeagentur aus Florida.
Die EliteToolbar ist nicht nur AdWare, sondern auch in höchstem
Maß schädlich für die Sicherheit privater Daten wie Adresse oder Kreditkartennummer.
Weitere Informationen zu SaferSurf.com:
Mit SaferSurf.com http://www.safersurf.com
werden alle Internetseiten sowie alle Dateien oder E-Mails, die der Benutzer
über das Internet lädt, bereits auf den SaferSurf-Servern überprüft. Schon im
Internet, vor dem heimischen Computer, werden der gesamte Datenstrom und damit
alle kritischen Dateien, die einen Virus, Wurm oder Trojaner enthalten könnten,
sofort von aktuellsten Filtern überprüft. Bei Gefahr wird statt der infizierten
Daten ein Warnhinweis an den Anwender zurückgegeben. Der gesamte Vorgang läuft
in Echtzeit ab, der Benutzer merkt nichts davon. SaferSurf funktioniert außerdem
ohne Installation von Anti-Virus oder Firewall-Software. Der TÜV
untersuchte 2005 die Virenschutz-Funktionen und erteilte nach gründlichen Tests
das Zertifikat „Geprüfter Anti-Virus Schutz“. SaferSurf
komprimiert auch Daten und beschleunigt den Aufruf von Webseiten auf bis zu
dreifache Geschwindigkeit. Die Fachzeitschrift „Computerbild“ hat SaferSurf.com
außerdem im Bereich „anonymes Surfen“ zum Testsieger erklärt.
