Gehackte Joomla-Webserver für Blackhat-SEO-Kampagne missbraucht

(openPR) Unterschleißheim, 29. Oktober 2010. Der Sicherheitsexperte André Faßbender von DANES IT-Systems & Services GmbH deckte im Rahmen seiner Penetrationstests einen neuartigen Betrugsmechanismus auf: Über gezielte Suchmaschinenoptimierung (SEO) mit Keywords für beliebte Webziele wie Film-, Porno- oder freie Software-Download-Seiten, landet das Opfer bei der Suche auf gefakten, kostenpflichtigen Sites. Der Missbrauch geht vor allem von Joomla-basierenden Webseiten aus. Die Joomla-Webserver wurden offenbar über bereits länger bekannte Schwachstellen gehackt und mit der Malware infiziert. Die Bezahlung läuft zudem über eine Website, die bekannt für Kreditkartenbetrug ist.

Anwender des Joomla-Softwarepaketes werden unfreiwillig zu Helfershelfern von Betreibern betrügerischer CPA (Cost per Action) Webseiten. Die Joomla-Webserver wurden gehackt und eine Schadsoftware eingeschleust, die die Website um fragwürdige Inhalte „erweitert“: Sie generiert Seiten, die mit bestimmten, häufig gesuchten Keywords "optimiert" wurden. Die Suchmaschinen werden damit gezielt auf Fake-Seiten geführt. Bei diesen sogenannten "Catcher-Websites" sind die Inhalte erst dann verfügbar, wenn der User einen gewissen Betrag per Kreditkarte bezahlt oder eine "Umfrage" eines Drittanbieters ausfüllt. Die Umfragen sind dann wiederum meist Abonnements für Mobilfunkdienstleistungen oder andere kostenpflichtige Inhalte.

Die Betreiber der Websites erkennen den Befall durch die Malware meist nicht, da der Einbruch die vorhandene Website nicht zerstört, sondern sich der Code nur einnistet. Eine aktuelle Suche nach dem verwendeten Muster liefert aktuell 15 Millionen Ergebnisse.

Die Urheber missbrauchen also gezielt die Suchmaschinenoptimierung, die dazu dient, Webseiten für Kunden gezielt auffindbar zu machen. Dem Webseitenbesucher wird vorgegaukelt, er würde den gewünschten Inhalt bekommen, sobald er gezahlt hat. Meist sind die angepriesenen Inhalte aber entweder gar nicht verfügbar oder der Besucher wird auf ein anderes Suchmaschinenergebnis weitergeleitet, das er kostenlos hätte erhalten können.

Top-Verdienst mit CPA-Websites

Der Betreiber von CPA-Webseiten muss lediglich vorhandene Skripts auf seinen Servern installieren und ein paar Werte anpassen, alle anderen Arbeiten nimmt das Skript selber vor. Umsätze im fünf- bis sechsstelligen Bereich pro Monat sind keine Seltenheit bei den Betreibern, wie die Website eines CPA-Skriptprogrammierers http://www.blackhatcodebreaker.com/ verspricht.

Die Links leiten den User auf die Seite http://fast-downloads.biz um, auf der dieser dann einen Zugang kaufen kann. Nach erfolgtem Kauf erhält er Suchergebnisse, die auf Inhalte anderer Anbieter verweisen und die er auch auf anderen Webseiten kostenlos gefunden hätte. Die abgefragten Kreditkarteninformationen werden zum einen mit dem Preis für den Zugang belastet, zum anderen finden sich über den Zahlungsanbieter auch Hinweise auf möglichen Missbrauch der Kreditkartendaten.

Hinter dem Hack steckt angeblich ein "Steve Reid" aus Texas, United States. Die Website wurde im April 2010 auf seinen Namen registriert. Vermutlich nutzt der Cracker als Pseudonym den Namen des Jazz Musikers Steve Reid, dessen Todestag auf das Datum der Erstregistrierung der Website fällt.

Unternehmen, die die Software Joomla auf ihrem Webserver installiert haben, ist dringend anzuraten, ihr System zu aktualisieren. Zu empfehlen ist für deren Administratoren, nach unbekannten Ordnern zu suchen, da bisher unbekannt ist, ob von den Angreifern weitere Daten verändert oder Backdoors eingebaut worden sind.