Die illegale Verbreitung von Christopher Nolans IMAX-Abenteuer "Die Odyssee" nutzen Cyberkriminelle für ihre Zwecke aus.
Christopher Nolans „Die Odyssee“ ist einer der größten Kinostarts des Jahres. Betrüger haben natürlich keine Zeit verloren, dies zu ihrem Vorteil auszunutzen. Bereits wenige Stunden nach dem Kinostart des Films stießen die Sicherheitsforscher von Malwarebytes auf mehrere Betrugsversuche mit unterschiedlichen Methoden. Diese richten sich an die Filmfans, die nach einer Raubkopie gesucht haben.
Kriminelle locken Surfer in die Werbefalle
Einige Kriminelle nutzten gefälschte Browser-Warnungen auf Piraterieseiten. Sie tun dies, um Nutzer über gefälschte Pop-ups zu ihren Malvertising-Netzwerken umzuleiten. In den Hinweisen behauptet man, im eigenen Browser fehle zum Abspielen des Films angeblich eine erforderliche „Komponente“. Das stimmt natürlich gar nicht. Ein Klick auf „Jetzt beheben“ löst aber gar kein Problem. Man hat die Besucher damit lediglich auf diverse weitere Webseiten umgeleitet, um den Gewinn zu maximieren.
Wohin genau diese Weiterleitungen führen, hängt davon ab, welche Kampagne das Netzwerk gerade ausliefert. In einigen Fällen bietet man den Besuchern gefälschte Browser-Erweiterungen an, die sie nach erfolgter Installation ausspionieren. Das gefakte Popup taucht laut Malwarebytes regelmäßig beim Besuch verschiedener P2P-Indexer und vor allem bei ihren Klonen auf, die gar keine Magnet-Links oder Torrent-Dateien anbieten.
Der Film „Die Odyssee“ als ausführbare Datei?
Andere versuchen, Schadsoftware in Form von ausführbaren Dateien als angebliche Film-Downloads zu tarnen. Das ist beispielsweise beim populären P2P-Indexer 1337X der Fall. Man tarnte bei der heruntergeladenen Datei eine .exe als „The Odyssey 2026 1080p WEBRip-LAMA“.
Nach dem Transfer stellt sich aber heraus, dass es sich um ein Programm für Windows handelt. Was man sich da auf die Platte geholt hat, hat mit Nolan oder „Die Odyssee“ gar nichts gemeinsam. Das ist eine schädliche Anwendung, zu dessen Ausführung man verleiten will. Wer eine .exe-Datei erhält, sollte diese direkt löschen. Ein Programm ist immer etwas anderes als ein Film. Offenbar hat das Team von 1337X diesen Fake bereits entfernt. Zumindest findet man ihn dort nicht mehr.
Vom Infostealer, Loader über Ransomware bis hin zu einem Trojaner
Die Betrüger tarnen ihre Malware mit dem orangefarbenen Verkehrskegel-Symbol des VLC Media Players. Dadurch sollen die Nutzer denken, dass es sich um eine Videodatei handelt. Doch trotz des Social-Engineering-Tricks ist und bleibt die Datei eine .exe, die Windows auch sofort als solche erkennt. Was man nach dem Transfer auf der Platte hat, hängt laut Malwarebytes von der jeweiligen Kampagne ab. Es könnte sich handeln um:
- einen Trojaner, der eine Hintertür ins Windows-System öffnet
- einen Infostealer, der gespeicherte Passwörter und Browsersitzungen stiehlt und an die Hacker überträgt
- einen Loader, der zusätzliche Malware herunterlädt, um sie zu installieren
- in manchen Fällen war es sogar Ransomware, die alles verschlüsselt, um den Besitzer des PCs zu erpressen.
Egal ob es sich um 1337X, The Pirate Bay oder einen anderen BitTorrent-Indexer handelt. Eine große Anzahl an Seedern bedeutet nicht automatisch, dass man das herunterlädt, was einem der P2P-Indexer verspricht. Das ist nur die Statistik, wie viele Teilnehmer gerade am Transfer von „Die Odyssee“ beteiligt sind. Wie man sieht, verbreiten viele Menschen unwissentlich auch schädliche Dateien. Die Anzahl der Teilnehmer sagt nichts über den Inhalt aus.
Warum das Ganze funktioniert?
Ganz einfach! Weil die Leute heiß auf aktuelle Kinoblockbuster wie „Die Odyssee“ sind. Sowohl die nachgemachte Werbung als auch die Malware versprachen beide, die Opfer ihrem Film ein Stück näher zu bringen. Von daher nutzen die Cyberkriminellen keine Sicherheitslücke aus, sondern die Gier einiger Nutzer, die am liebsten alles Neue umsonst haben wollen.
Für jegliche Sicherheitssoftware ist es wesentlich schwieriger, dies vollumfänglich zu verhindern. Browser können nicht zuverlässig zwischen einer echten Browser-Meldung und einer nachgemachten Meldung einer gefakten Klon-Seite unterscheiden. Ebenso kann keine Antivirensoftware jede ausführbare Datei als bedrohlich einstufen, nur weil sie ein irreführendes Symbol verwendet oder ungewöhnliche Metadaten enthält, da dies auch bei vielen legitimen Anwendungen der Fall ist.
Malwarebytes warnt davor, bei Warez das Hirn auszuschalten
Wir halten als Fazit fest: Meistens sitzt die gefährlichste Sicherheitslücke, die man prima austricksen kann, zirka 30 cm vor dem Bildschirm. Wer Hinweise auf aktuelle Spielfilme oder gecrackte Software sieht, darf trotz seines Verlangens nach der neuen Ware nicht sein Hirn ausschalten. Brain.exe also bitte stets eingeschaltet lassen und besser keinen Versprechungen trauen. Vor allem muss man alles zwingend vor dem ersten Ausführen auf mögliche Spy- oder sonstige Schadsoftware untersuchen. Das gilt erst recht, sollte die Datei aus dem Graubereich stammen!
Und nein, wir wussten auch ohne Die Odyssee: ein Programm ist halt kein Film. Cam-Rips werden grundsätzlich nicht als .exe, .com, .bat, (Batchdatei), .cmd bzw. .msi (Installer), .msp, .scr (ausführbarer Bildschirmschoner), .pif (üblich unter MS-DOS), .ps1 (PowerShell-Skript), .vbs und .vbe (VBScript-Dateien), .js und .jse (JScript) sondern mit einer ganz anderen Endung verbreitet.
(*) Alle mit einem Stern gekennzeichneten Links sind Affiliate-Links. Wenn Du über diese Links Produkte oder Abonnements kaufst, erhält Tarnkappe.info eine kleine Provision. Dir entstehen keine zusätzlichen Kosten. Wenn Du die Redaktion anderweitig finanziell unterstützen möchtest, schau doch mal auf unserer Spendenseite oder in unserem Online-Shop vorbei.
