Von Google gehostete Malvertising-Anzeige führt zu täuschend echter gefälschter KeePass-Website

• Es wurde bekannt, dass Google eine bösartige Anzeige gehostet hat, die sich als der Open-Source-Passwortmanager KeePass ausgibt
• Die Anzeige führt zur gefälschten KeePass-Seite ķeepass[.]info und wirkt echt, weil sie über ein gültiges TLS-Zertifikat verfügt und eine URL verwendet, die genauso aussieht wie die echte KeePass-Website
• Die gefälschte Seite ist in Wirklichkeit eine kodierte Version von xn--eepass-vbb[.]info und verbreitet eine Malware-Familie namens FakeBat
• Aufgedeckt wurde der Betrug von Jérôme Segura, Leiter des Threat-Intelligence-Teams beim Sicherheitsanbieter Malwarebytes
• Die Anzeige wurde von einer Organisation namens Digital Eagle bezahlt, deren Identität von Google verifiziert wurde
• Die Betrugsseite nutzt ein Kodierungsschema namens Punycode, um Unicode-Zeichen als standardisierten ASCII-Text darzustellen
• Es ist nicht das erste Mal, dass Punycode für Malware-Betrug genutzt wird; in der Vergangenheit wurde es verwendet, um Websites wie brave.com und apple.com zu imitieren
• Es gibt keine sichere Methode, bösartige Google-Anzeigen oder mit Punycode kodierte URLs zu erkennen, aber Nutzer können das TLS-Zertifikat prüfen, um zu bestätigen, dass es zu der in der Adressleiste angezeigten Website gehört

[GN⁺]

Hacker-News-Kommentare

• Ein Artikel über das Problem, dass von Google gehostete bösartige Werbung zu einer täuschend echt aussehenden gefälschten Keepass-Website führt
• Die Werbung wurde von dem von Google verifizierten Werbekunden Digital Eagle bezahlt
• Google wird dafür kritisiert, nicht auf E-Mails zu reagieren und seit über zwei Jahren als Suchmaschine keine Sicherheit zu gewährleisten
• Einige Nutzer haben beschlossen, bestimmte Domains zu blockieren, weil Googles Werbung Clients auf Phishing-Seiten leitet
• Es gibt den Vorschlag, dass Werbevermittler eine Mitschuld an betrügerischer Werbung tragen sollten oder dass Werbung ihre aggressive Anonymität verlieren müsste
• Im Artikel wird ein nahezu perfekter Sturm der Täuschung erwähnt, bei dem Nutzer zuerst über Google-Anzeigen und dann erneut über ähnliche Domains getäuscht werden
• Google Chrome 59 behob 2017 Punycode-Phishing-Angriffe, doch es besteht der Verdacht, dass weiterhin Schwachstellen vorhanden sein könnten
• Erwähnt wird auch Kritik an Googles Krieg gegen Werbeblocker auf YouTube und daran, dass man Google nicht zutrauen könne, die Verantwortung für sichere Werbung zu übernehmen
• Es wird gefordert, dass Unternehmen in schwierigen Situationen mit irreführender Werbung und Spam-Anrufern Gesetze zur Identifizierung ihrer Kunden einhalten müssen
• Googles Behauptung, betrügerische Werbung sofort nach einer Meldung zu entfernen, wird kritisiert; stattdessen wird vorgeschlagen, Werbung vor der Veröffentlichung zu prüfen
• Ein Artikel darüber, dass selbst sicherheitsbewusste Personen Schwierigkeiten haben, die gefälschte Keepass-Website zu erkennen
• Der Einsatz von Punycode wird misstrauisch betrachtet, mit dem Hinweis, dass es hauptsächlich in Spam-Domains verwendet werde
• Es wurden Lösungen zur Eindämmung bösartiger Werbung vorgeschlagen, darunter mehr Transparenz und die Pflicht, dass jede Anzeige die rechtlichen Kontaktdaten des Werbekunden enthält