YouTube: Getürkte Webseiten locken in die Trojaner-Falle

**gullinews** · 12. 09. 2008, 19:34

Videoportale haben sich im Internet und insbesonders im Web 2.0 zu einem wichtigen Bestandteil entwickelt. Besonders der Platzhirsch YouTube hat sich förmlichen zu einem User-Magneten entwickelt und lockt täglich Millionen Besucher auf die Webseite. Mehrere Sicherheitsexperten sind der Meinung, es war längst überfällig, bis sich erste Cyberkriminelle mit ähnlichen Konzepten aufmachen, um die User in die Falle zu locken. Das Team von Panda Security gab jüngst bekannt, dass die ersten Tools zur Erstellung von getürkten YouTube-Webseiten aufgetaucht sind.

Mit dem kürzlich entdeckten Werkzeug soll es auch Anfängern problemlos möglich sein, eine Webseite zu erstellen, die YouTube zumindest optisch gleicht. Hinsichtlich des tatsächlichen Inhalts gehen die einzelnen Versionen allerdings in völlig unterschiedliche Richtungen. Die täuschend ähnlichen Duplikate bieten dem ahnungslosen Besucher eine Unterhaltung der etwas anderen Art. Vorrangig werden die modifizierten Webseiten genutzt, um Malware in den Umlauf zu bringen. Schenkt man den Beobachtungen Glauben, so befinden sich die Cyberkriminellen mit diesem Vorhaben auf dem Erfolgskurs.

weiterlesen

**klexii** · 12. 09. 2008, 20:08

Ein Kumpel hat mir vor gut einer Woche davon erzählt das er auf einer seite war von dort auf youtube kahm und als er sich ein Video anschauen wollte hat er was Installiert und nun kommen die ganze Zeit popups..

Weis wer wie man diesen virus los wird?

**gS-** · 12. 09. 2008, 20:14

Zitat von klexii

Ein Kumpel hat mir vor gut einer Woche davon erzählt das er auf einer seite war von dort auf youtube kahm und als er sich ein Video anschauen wollte hat er was Installiert und nun kommen die ganze Zeit popups..

Weis wer wie man diesen virus los wird?

Ob es ein Virus ist oder nicht, muss man erst mal herausfinden, ehe man den Übeltäter aus dem System entfernt. Was sagen denn die gängigen Antiviren-Lösungen ?

**msg** · 12. 09. 2008, 20:25

also dies Trojanerseiten sind mir schon öfter begegnet.

da stand dann etwa: Diesen Film kannst Du nur mit unserem Plugin Activate.exe anschauen.
Den aufpoppenden Javascripte meldeten dann abwechelnd zwischen : "Kann ActiveX nicht finden" und Datei Actiavte.EXE herunterladen, glaub ich.
Versuche, NUR diese Seite zu schließen scheiterten - ich mußte Firefox ganz abschießen und dann bei dessen Neustart, den TAB mit der Seite erwischen und mit ESC abbrechen, bevor die Seite und das JavaScript darin geladen ist. ...
Anders kommt man aus der Dialogschleife nicht mehr heraus.
Evtl. bekommt man da Ruhe nur durch Herunterladen und Intsallieren des Trojaners. ... hab ich aber nie versucht ... :P

**gS-** · 12. 09. 2008, 20:29

Zitat von msg

also dies Trojanerseiten sind mir schon öfter begegnet.

da stand dann etwa: Diesen Film kannst Du nur mit unserem Plugin Activate.exe anschauen.
Den aufpoppenden Javascripte meldeten dann abwechelnd zwischen : "Kann ActiveX nicht finden" und Datei Actiavte.EXE herunterladen, glaub ich.
Versuche, NUR diese Seite zu schließen scheiterten - ich mußte Firefox ganz abschießen und dann bei dessen Neustart, den TAB mit der Seite erwischen und mit ESC abbrechen, bevor die Seite und das JavaScript darin geladen ist. ...
Anders kommt man aus der Dialogschleife nicht mehr heraus.
Evtl. bekommt man da Ruhe nur durch Herunterladen und Intsallieren des Trojaners. ... hab ich aber nie versucht ... :P

Das ist eine der aktuellsten Methoden um Malware (aller Art) in den Umlauf zu bringen. Sicherlich fallen da viele drauf rein, die sehen Youtube und denken, dass es auch das ist. Möglicherweise ist der korrekte Codec oder Plug-In sogar schon installiert, aber ein ahnungsloser User mag darauf hereinfallen. Offensichtlich geht das Konzept aber auf und die Schädlinge ziehen auf den Systemen munter ein. Bei sowas sollte jeder User auf der Hut sein !

Wandang · 12. 09. 2008, 21:38

wenns um getürkte videoportale geht hätte man auch ruhig die fakes von den rechteinhabern nennen können

da gabs ja auch schon welche. wenn man dort videos hochgeladen hat, wurde man abgemahnt oder so...

@msg: besorg dir mal umbedingt "noscript". das ist ein addon für den feuerfuchs, welcher alle javascriptaktivitäten blockt.
würd mir nie im traum einfallen solche unbekannten plugins zu installieren. aber kenn mich ja auch schon aus. markenflash nehmen und cccp (oder ähnliche packs) als codecpack installieren und dass wars.

**darkcloud1987** · 12. 09. 2008, 22:12

@msg
du bekommst auch schon Ruhe, wenn du auf Runterladen klickst, es danach aber NICHT runterlädst.

**terminator2k2** · 13. 09. 2008, 00:32

Die Meldung kommt sehr spät... solche Seiten sind schon seit Monaten im Umlauf..
Usere wurde auch bereits "Opfer" von Bots, welche Pns mit Links zur solchen Seiten verschickt haben.
Trotz schnelle Reaktion wurden recht viele PNs verteilt ~

Und um sich gegen solche Methoden zu Schützen ist man mit NoScript am besten "bewaffnet"

Wandang · 13. 09. 2008, 00:56

Zitat von terminator2k2

Die Meldung kommt sehr spät... solche Seiten sind schon seit Monaten im Umlauf..
Usere wurde auch bereits "Opfer" von Bots, welche Pns mit Links zur solchen Seiten verschickt haben.
Trotz schnelle Reaktion wurden recht viele PNs verteilt ~

Und um sich gegen solche Methoden zu Schützen ist man mit NoScript am besten "bewaffnet"

ja, die malwareschleudern sind immer einige schritte schneller als die antiviren-programmierer/hersteller.
man versucht ja nur noch schadensbegrenzung zu betreiben, aber das bringt auch wenig, da immer noch die meisten auf sowas reinfallen (sieht man ja).
aber es gibt dann schließlich doch welche, welche noscript und adblockplus installieren um wenigstens surftechnisch etwas geschützt zu sein.

aber auch interessant ist die lernresistenz. manche hat man auf linkschickende trojaner hingewiesen (in IM an die kontaktliste sendend) und man erhällt 2 wochen später wieder spam.

**gS-** · 13. 09. 2008, 08:04

Zitat von terminator2k2

Die Meldung kommt sehr spät... solche Seiten sind schon seit Monaten im Umlauf..

Und die wurden auch explizit mit diesem Tool erstellt ?

**terminator2k2** · 13. 09. 2008, 09:07

Zitat von gS-

Und die wurden auch explizit mit diesem Tool erstellt ?

sollte so sein, man schaut immer so wenig Arbeit wie nur möglich zu haben. Es wird keiner von Hand anfangen sowas zu machen, obwohl es nicht lange dauert die Seite nachzubauen

**alter_Bekannter** · 13. 09. 2008, 09:35

Zitat von klexii

Ein Kumpel hat mir vor gut einer Woche davon erzählt das er auf einer seite war von dort auf youtube kahm und als er sich ein Video anschauen wollte hat er was Installiert und nun kommen die ganze Zeit popups..

Weis wer wie man diesen virus los wird?

YMMD

@Topic:
Platz 2, naja das zitierte lässt sich nur schwer toppen

Zitat von terminator2k2

Die Meldung kommt sehr spät... solche Seiten sind schon seit Monaten im Umlauf..
Usere wurde auch bereits "Opfer" von Bots, welche Pns mit Links zur solchen Seiten verschickt haben.
Trotz schnelle Reaktion wurden recht viele PNs verteilt ~

Und um sich gegen solche Methoden zu Schützen ist man mit NoScript am besten "bewaffnet"

aber dann gibts nichtmehr soviel zu lachen

zum Glück glauben AV benutzer eh nicht an no-script

**Peter_Flops** · 13. 09. 2008, 10:48

Das stimmt diese websites gibts schon länger ...
es befand sich unter youtube-s.com mal eine infektionsstatistik und unter youtube-r.com gab es die trojaner (weiterleitung iframe)
weiter lag das command and control interface in china weiss aber nicht mehr genau irgendwas mit a9reyc.cn oder so.

mit ytfakeC.. kann doch die domain youtube.com nicht erstellt werden ... die muss doch eigentlich immer anders heissen.
man sollte also doch schon manchmal in die browserleiste schauen und evtl mal einen domain check machen, aber das ist den meisten ja wieder zu viel ...

**gS-** · 13. 09. 2008, 11:26

Zitat von Peter_Flops

mit ytfakeC.. kann doch die domain youtube.com nicht erstellt werden ... die muss doch eigentlich immer anders heissen.
man sollte also doch schon manchmal in die browserleiste schauen und evtl mal einen domain check machen, aber das ist den meisten ja wieder zu viel ...

Wenn das jetzt ganz unmerkliche änderungen sind bei der adresse dann kann ich mir schon vorstellen, dass man das übersieht. aber spätestens wenn ein codec installiert werden sollte müssen die alarmsirenen losgehen.