Hacker schmuggeln schädliche PDF-Dateien in Googles Suchergebnisse

Der IT-Sicherheitsanbieter Sophos weist darauf hin, dass sich an prominenter Stelle in Googles Suchergebnissen wieder verstärkt schädliche PDF-Dateien finden. Offenbar ist es mindestens einer Hackergruppe gelungen, die von Google in den vergangenen Jahren getroffenen Vorkehrungen gegen das schon lange bekannte PDF-Cloaking zu umgehen, mit denen das Problem vorübergehend eingedämmt werden konnte.

Um Googles Seitenindizierung zu täuschen, werden Dokumente oder Webseiten so modifiziert, dass sie sich Googles Webcrawler – dem Googlebot – gegenüber als harmlos präsentieren. Allerdings vermitteln ihm die Kriminellen einen völlig anderen Inhalt, als ein menschlicher Besucher wahrnimmt. Dies ist möglich, weil die Suchmaschine sich bei ihrer Arbeit als Googlebot zu erkennen gibt. Der Webcrawler wird dann mit für ihn passenden Informationen versorgt, die zu einer hohen Platzierung innerhalb der Trefferliste führen.

„Die aktuellen Erkenntnisse beruhen auf einem von Sophos Labs entdeckten, schadhaften PDF“, erläutert Sascha Pfeiffer, Principal Security Consultant bei Sophos. „Sophos suchte daraufhin gezielt nach Dokumenten mit ähnlichen Eigenschaften und erhielt innerhalb kürzester Zeit hunderte schadhafter PDF-Dokumente, die alle identische Merkmale aufwiesen.“

Laut dem Sicherheitsanbieter machen sich die Kriminellen dabei die Tatsache zunutze, dass der Google-Algorithmus offenbar Inhalte in Form eines PDF anstelle einer Webseite per se als seriöser und bedeutsamer einstuft. Außerdem kam Sophos zu der Erkenntnis, dass offenbar URLs mit der Endung.gov oder .edu besser bewertet werden.

Die Experten der Sophos Labs fanden bei der Google-Suche nach Stichworten aus den schadhaften PDFs eine große Anzahl ähnlicher Dokumente auf grundsätzlich legalen, aber vermutlich kompromittierten Websites. Zusätzlich zur ungewöhnlich hohen Anzahl Stichworten enthielten die PDFs Links zu Dokumenten auf anderen Websites, die gemeinsam ein sogenanntes „Back-Link-Rad“ bildeten. Dieser Trick reichte offenbar aus, um von Google ein hohes Seitenranking zu erhalten.

Die von Sophos entdeckten Aktivitäten stehen im Zusammenhang mit einem Handelsangebot für binäre Optionen, einer besonders riskanten Anlageform. Jeder Link auf der Seite der Google-Suchresultate gehörte zu dieser Kampagne. Die PDF-Links führten zunächst zu einer Webseite mit binären Optionen. Einige Zeit später führte der Link jedoch zu einer Seite die schnellen Reichtum versprach. Sophos Labs hat Google bereits über seine Untersuchungsergebnisse informiert, bevor sie veröffentlicht wurden. Verbraucher sollten vor dem Anklicken von PDF-Dokumenten grundsätzlich überlegen, ob das Thema der Website und der versprochene Inhalt des Dokuments in sinnvollem Zusammenhang stehen.

[mit Material von Peter Marwan, ITespresso.de]

Tipp: Kennen Sie die Geschichte der Computerviren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de