Christopher Nolans „The Odyssey“ ist einer der größten Kinostarts des Jahres, und Betrüger haben keine Zeit verloren, dies auszunutzen. Bereits wenige Stunden nach dem Kinostart des Films stießen wir auf Betrugsversuche, die sich an Menschen richteten, die nach Raubkopien suchten. Einige nutzten gefälschte Browser-Warnungen auf Piraterieseiten, während andere Malware als Film-Downloads tarnten.
Einige nutzten gefälschte Browser-Fehlermeldungen, um Nutzer über Malvertising-Netzwerke umzuleiten. Andere boten scheinbar Film-Downloads an, bei denen es sich in Wirklichkeit jedoch um Windows handelte, die als Videodateien getarnt waren.
Keiner der beiden Betrugsversuche hat etwas mit dem Film selbst zu tun. Die Betrüger nutzen lediglich die Tatsache aus, dass Menschen nach einem beliebten neuen Film suchen.
Die von uns aufgedeckten „Odyssey“-Betrugsmaschen
Wir haben zwei Hauptstrategien beobachtet.
Eine davon nutzte gefälschte Pop-ups, in denen behauptet wurde, in Ihrem Browser fehle eine erforderliche „Komponente“. Ein Klick auf „Jetzt beheben“ löste kein Problem. Die Besucher wurden dadurch lediglich in ein Malvertising-Netzwerk umgeleitet. Wohin genau diese Weiterleitungen führten, hing davon ab, welche Kampagne das Netzwerk gerade auslieferte.
Im zweiten Fall ging es um eine Datei, die als The Odyssey 2026 1080p WEBRip-LAMA. Nach dem Herunterladen stellte sich jedoch heraus, dass es sich um ein .exe Datei. Das ist eine Windows , kein Video.
Filme müssen nicht als Programme ausgeführt werden. Wenn ein vermeintlicher Film-Download mit .exe, es ist kein Film.
Die gefälschte Warnmeldung „Browser-Problem erkannt“
Auf geklonten Raubkopien-Websites, auf denen Torrents zu „The Odyssey“ angeboten wurden, stießen wir auf ein gefälschtes Browser-Popup mit der Meldung „Browser-Problem erkannt“. Darin wurde gewarnt, dass eine „fehlende Komponente“ den uneingeschränkten Zugriff verhindere. Es zeigte eine auffällige Schaltfläche „Jetzt beheben“ an, darunter befanden sich die deutlich kleineren Optionen „Schließen“ und „Weiter surfen “.
Es fehlte keine Browserkomponente. Das gesamte Pop-up war Teil der Webseite selbst und so gestaltet, dass es wie eine echte Browserwarnung aussah.
Was dies besonders interessant machte, war, wie einheitlich es auftrat. Wir fanden auf mehreren geklonten Torrent-Seiten dieselbe Einblendung – mit identischem Wortlaut und identischem Layout, wobei lediglich die Markenfarben geändert waren.
Es handelte sich hierbei nicht um echte Torrent-Tracker, sondern um überzeugende Nachahmungen, die darauf ausgelegt waren, bekannte Piraterieseiten zu imitieren. Sie übernahmen das Layout der echten Seiten, die Grafiken und die Besetzungsangaben zu „The Odyssey“ und blendeten darüber die gefälschte Browser-Warnung ein. Zusammengenommen deuten die geklonten Websites und die identischen Pop-ups stark auf eine koordinierte Kampagne hin, die darauf abzielte, Suchanfragen zu einem großen neuen Film zu kapern – und nicht auf legitime Torrent-Seiten, die gehackt worden waren.
Ein Klick auf „Jetzt beheben“ leitet Besucher in der Regel über eine oder mehrere Werbe-Weiterleitungen weiter. Je nachdem, welche Kampagne gerade aktiv ist, gelangen Nutzer schließlich möglicherweise auf:
- Eine gefälschte Browser-Erweiterung
- Scareware, die die Nutzer dazu auffordert, eine gefälschte Nummer des technischen Supports anzurufen
- Eine weitere Weiterleitung, die darauf abzielt, Malware zu verbreiten
Das endgültige Ziel kann von Besuch zu Besuch variieren, da das zugrunde liegende Werbenetzwerk im Laufe der Zeit die angezeigten Inhalte ändert.
Ein Film, der eigentlich eine Sendung war
Der zweite Betrugsversuch richtete sich gegen Personen, die tatsächlich versucht hatten, den Film herunterzuladen. Wir fanden außerdem einen Eintrag mit dem Namen The Odyssey 2026 1080p WEBRip-LAMA.exe, beworben als ein 1080p WEBRip Veröffentlichung mit 597 Seedern und 520 Leechern.
Windows erkannte den Download Windows als Anwendung und bestätigte damit, was die Dateiendung bereits verraten hatte.
Legitime Film-Downloads verwenden Videocontainer wie beispielsweise .mkv, .mp4, oder .avi. Diese Dateien werden von einem Mediaplayer geöffnet; sie führen keinen Code aus.
Einige weitere Details fielen besonders auf.
Die Dateibeschreibung lautete „Wireless Bus Business Controller“, was nichts mit der Videowiedergabe zu tun hat und wahrscheinlich Metadaten waren, die von der Software übrig geblieben waren, mit der die ausführbare Datei ursprünglich erstellt wurde.
Die Datei zeigte zudem das bekannte orangefarbene Verkehrskegel-Symbol des VLC Media Players an, obwohl es sich um eine Anwendung und nicht um eine Videodatei handelte. Das ist ein klassischer Social-Engineering-Trick. VLC ist einer der weltweit am häufigsten genutzten Mediaplayer, daher verbinden viele Menschen sein Symbol instinktiv mit einem harmlosen Video. In einem Download-Ordner sieht die Datei so aus, als könne man sie bedenkenlos doppelklicken, doch in Wirklichkeit wird dadurch ein unbekanntes Programm mit Ihren eigenen Benutzerrechten ausgeführt.
Auf diese Weise verpackte Dateien (mit irreführenden Dateiendungen, gefälschten Symbolen und inkonsistenten Metadaten) sind eine altbewährte Methode zur Verbreitung von Malware.
Hast du etwas mitgenommen, das du besser nicht hättest mitnehmen sollen?
Was nach dem Starten der Datei durch den Benutzer ausgeführt wird, hängt von der Kampagne ab. Es könnte sich um Folgendes handeln:
- Ein Trojaner, der eine Hintertür ins System öffnet
- Ein Infostealer, der gespeicherte Passwörter und Browsersitzungen stiehlt
- Ein Loader, der zusätzliche Malware herunterlädt
- In manchen Fällen kann Ransomware
Man sollte auch bedenken, dass eine große Anzahl von Seedern nicht bedeutet, dass eine Datei sicher ist. Sie zeigen lediglich an, dass viele Menschen sie weitergeben – und viele Menschen verbreiten unwissentlich schädliche Dateien.
Warum diese Betrugsmaschen funktionieren
Bei keinem der beiden Betrugsfälle wurde eine Sicherheitslücke in der Software ausgenutzt.
Stattdessen setzten beide darauf, jemanden dazu zu bringen, den nächsten Schritt zu tun: auf eine gefälschte Browser-Warnung zu klicken oder eine Datei abzuspielen, von der sie glaubten, es handele sich um einen Film.
Für Sicherheitssoftware ist es wesentlich schwieriger, dies vollständig zu verhindern, da Browser nicht zuverlässig zwischen einer echten Browser-Meldung und einer Meldung unterscheiden können, die vollständig im HTML-Code einer Webseite dargestellt wird. Ebenso kann Antivirensoftware nicht jede ausführbare Datei als verdächtig kennzeichnen, nur weil sie ein irreführendes Symbol verwendet oder ungewöhnliche Metadaten enthält, da dies auch bei vielen legitimen Anwendungen der Fall ist.
Sicherheitssoftware spielt nach wie vor eine wichtige Rolle. Sie kann bekannte schädliche Websites blockieren, Malware erkennen, sobald diese identifiziert wurde, und viele schädliche Downloads oder Weiterleitungen verhindern, bevor sie abgeschlossen sind.
Aber wenn man bedenkt, dass ein „Film“, der mit .exe „Ist das wirklich ein Film?“ – diese Frage gehört nach wie vor zu den einfachsten und wirksamsten Sicherheitsüberprüfungen, die Nutzer selbst durchführen können.
Was tun, wenn Sie möglicherweise betroffen sind?
- Falls Sie auf „Jetzt beheben“ geklickt haben und anschließend etwas Unerwartetes heruntergeladen oder geöffnet wurde, führen Sie bitte einen vollständigen Malwarebytes durch.
- Wenn du einen vermeintlichen Film gezeigt hättest, der sich dann als
.exe, trennen Sie den Computer vom Netzwerk, führen Sie einen vollständigen Malware-Scan durch und vermeiden Sie es, das Gerät für Online-Banking, E-Mail oder andere sensible Konten zu nutzen, bis Sie sicher sind, dass es virenfrei ist. - Überprüfen Sie Ihren Browser auf Erweiterungen, an deren Installation Sie sich nicht erinnern können, und entfernen Sie alle unbekannten Erweiterungen.
- Falls Sie ein unbekanntes Programm ausgeführt haben, ändern Sie die Passwörter für wichtige Konten von einem separaten, vertrauenswürdigen Gerät aus.
- Behandeln Sie jeden raubkopierten „Film“, der nicht im Standard-Videoformat vorliegt, als verdächtig. Es gibt keinen legitimen Grund dafür, dass ein Film-Download eine Windows sein sollte.
Abschließende Gedanken
Malvertising im Zusammenhang mit Piraterie und Dropper für gefälschte Filme halten sich hartnäckig, weil sie nicht besonders ausgeklügelt sein müssen. Sie benötigen lediglich einen Titel, der populär genug ist, um Suchverkehr zu garantieren. Ein 250-Millionen-Dollar-IMAX-Epos, für das bereits ein Jahr lang Vorverkaufskarten verkauft wurden, kommt einer garantierten Besucherzahl so nahe, wie es in der Piraterie-Wirtschaft nur möglich ist – weshalb diese Betrugsmaschen bereits innerhalb weniger Stunden nach dem Kinostart auftauchten und nicht erst Wochen später.
Wenn Sie einen Film herunterladen und Sie dazu aufgefordert werden, etwas zu installieren, Ihren Browser zu reparieren oder ein Programm auszuführen, .exe, dann bekommst du mit ziemlicher Sicherheit keinen Film. Du lädst Software herunter, die deinen Computer infizieren könnte.
Beugen Sie Bedrohungen vor, bevor sie Schaden anrichten können.
Malwarebytes Browser Guard Phishing-Seiten und bösartige Websites automatisch. Kostenlos und mit nur einem Klick zu installieren. Zu Ihrem Browser hinzufügen →
