Hacker eröffnen Online-Shops auf fremden Seiten: Crawler soll sie aufspüren

Angebote für rezeptfreie Potenzpillen oder gefälschte Medikamente finden sich im Internet nicht nur auf Schmuddel-Domains. Um illegale Medikamentenangebote bei Suchmaschinen besser zu platzieren, verstecken Hacker entsprechende Onlineshops oft in seriösen Webangeboten. IT-Forensik-Experten des Fraunhofer-Instituts für Sichere Informationstechnologie SIT in Darmstadt haben dies im Rahmen eines Projekts zur Aufklärung illegalen Arzneimittelhandels im Internet entdeckt.

Die Betreiber der illegalen Shops nutzen verstärkt Sicherheitslücken in Content Management-Systemen (CMS) wie Typo 3, Joomla oder WordPress aus, um ihr illegales Angebot zu vermarkten. Die Fraunhofer-Experten raten Seitenbetreibern deshalb dazu, ihre CMS regelmäßig zu aktualisieren.

Im Projekt ALPhA (Auswirkungen der Liberalisierung des Internethandels in Europa auf den Phänomenbereich der Arzneimittelkriminalität) entwickelten IT-Forensiker des Fraunhofer SIT einen sogenannten fokussierten Text-Crawler. Er soll dabei helfen, illegale Shops im Netz automatisiert aufzuspüren. Dabei ist den Fraunhofer-Experten aufgefallen, dass die Shops nicht nur alleinstehend für sich im Netz existieren, sondern oft Unterseiten seriöser Websites sind, ohne dass die Website-Betreiber davon wissen.

Viele Lücken sind immer noch nicht geschlossen

„Betroffen von den Attacken sind neben privaten Webseiten-Betreibern auch größere Organisationen und sogar ärztliche Institutionen“, sagt Oren Halvani, Forscher am Fraunhofer SIT. „Wir haben die Seitenbetreiber entsprechend informiert und mittlerweile sind die meisten von uns gefundenen illegalen Shops beseitigt.“

„Hauptsächlich werden Lücken in Content Management-Systemen wie Typo3, Joomla oder WordPress ausgenutzt, um Webseiten zu manipulieren oder auf illegale Online-Apotheken umzuleiten“, sagt Dr. Martin Steinebach, Leiter der IT-Forensik am Fraunhofer SIT. „Diese Praxis gibt es schon sehr lange, und wir waren erstaunt, wie viele alte Lücken immer noch nicht geschlossen sind und so einfach ausgenutzt werden können.“

Die Tendenz, diese Lücken auszunutzen, nehme zu. Zudem würden viele Seitenbetreiber nicht merken, dass ihr Webauftritt einen illegalen Trittbrettfahrer hat. Um sich vor solchen Shops zu schützen, empfiehlt Steinebach, das eigene CMS regelmäßig zu aktualisieren. Webmaster können außerdem prüfen, ob die eigene Seite betroffen ist, indem sie bei Google Folgendes eingeben: +site: www.MeineWebseite.de [Query], wobei für [Query] das typische Produkt (Viagra, Cialis, etc.) eingegeben wird, für das geworben wird.

Halvani ergänzt: „Technisch gesehen handelt es sich bei den Attacken überwiegend um eingebetteten JavaScript-Code. Die Angreifer machen es sich dabei zunutze, dass heutzutage die wenigsten Nutzer Java Scripting deaktivieren, da ohne dieses zahlreiche Webseiten praktisch nutzlos wären“. Die illegalen Shop-Seiten reagieren auf Google-Bots, sodass beispielsweise bei einer Suche nach „Viagra rezeptfrei“ diese illegalen Seiten angezeigt werden. Außerdem helfen die Kuckucksseiten den illegalen Shops, besser durch Suchmaschinen gefunden zu werden.

Das Projekt ALPhA befasst sich mit illegalem Arzneimittelversand und den daraus resultierenden Problemen für Strafverfolgungsbehörden. Das IT-Forensik-Team des Fraunhofer SIT ist im Projekt ALPhA für den Aufbau einer Datenbank verantwortlich, die als Hilfestellung für Juristen und Ermittler dienen soll. In dieser Datenbank sind Fallbeispiele von illegalen Shop gesammelt; hauptsächlich aber bildet die Datenbank die Rechtslage zum Online-Versand in den 28 unterschiedlichen Ländern der EU ab. Mithilfe der Datenbank können Ermittler zunächst herausfinden, ob ein Shop überhaupt als legal oder illegal einzustufen ist, und wie die Gesetzgebung dazu im jeweiligen EU-Land ist, welches Strafmaß gilt, etc.

Das Verbundprojekt ALPhA ist Teil des Forschungsprogramms des Bundesministeriums für Bildung und Forschung zur zivilen Sicherheit und wurde im Rahmen der Bekanntmachung „Zivile Sicherheit – Schutz vor Wirtschaftskriminalität“ bewilligt.