Ransomware-Banden und Datendiebe haben einen Großteil ihrer Auslieferung auf einen Kanal verlagert, den die meisten Sicherheitsprogramme kaum kontrollieren: den Browser. Er wickelt die Suchen, Downloads und Updates ab, die einen normalen Arbeitstag ausmachen, und Angreifer haben gelernt, ihre Schadlast genau in diesen Handlungen zu verstecken.
Der Reiz für sie liegt darin, dass der Nutzer den riskanten Teil selbst übernimmt. Wenn jemand eine Datei herunterlädt oder selbst eine Eingabeaufforderung ausführt, gibt es keine unaufgeforderte eingehende Verbindung, die Perimeter-Tools melden könnten, und die Person hat kaum Grund, einen Schritt zu hinterfragen, den sie selbst angestoßen hat. Gute browserbasierte Angriffe funktionieren, indem sie das Schädliche dem Legitimen ähneln lassen, das der Nutzer ohnehin gesucht hat.
Drive-by-Downloads, Malvertising, gefälschte Installer und ClickFix-Aufforderungen sind derzeit die Techniken, die den Großteil dieser Arbeit erledigen. Sie setzen an unterschiedlichen Punkten des normalen Surfens an, weshalb es hilft, sich anzusehen, wie jede einzelne funktioniert und warum sie an den Abwehrmechanismen vorbeikommt, die auf andere Angriffswege ausgerichtet sind.
Drive-by-Downloads: Infektion ohne Klick
Ein Drive-by-Download liefert Malware aus, wenn jemand eine Webseite lädt, gelegentlich ganz ohne weitere Interaktion. Die Seite führt versteckten Code aus, der auf eine Schwachstelle im Browser oder einem Plugin abzielt, und die Schadlast kann sich installieren, bevor der Nutzer irgendetwas Ungewöhnliches auf dem Bildschirm bemerkt.
Vertrauenswürdige Seiten sind Teil dessen, was das so gefährlich macht. Angreifer kompromittieren legitime Websites und platzieren dort ihren Code, sodass eine Seite, die jahrelang gefahrlos besucht wurde, beim nächsten Laden Malware ausliefern kann. Eine Warnmeldung von FBI und CISA aus dem Jahr 2025 berichtete, dass die Ransomware-Gruppe Interlock sich den ersten Zugang über Drive-by-Downloads verschaffte von kompromittierten Seiten aus, eine Methode, die die Behörden als unter Ransomware-Akteuren ungewöhnlich bezeichneten.
Viele Drive-bys fügen einen Anstoß hinzu, statt vollständig von allein zu laufen. Die Schadlast wird als etwas verkleidet, das der Nutzer zu akzeptieren erwartet, meist als Aufforderung zu einem Browser-Update. Dieselbe Warnmeldung dokumentierte Malware, die als gefälschte Updates für Google Chrome und Microsoft Edge getarnt war und einen routinemäßigen Klick auf “Update verfügbar” zum Moment der Infektion machte.
Das Einspielen von Patches beseitigt viele der zugrunde liegenden Schwachstellen, auch wenn das Timing tendenziell dem Angreifer in die Hände spielt. Die Zeitspanne zwischen dem Bekanntwerden einer Browser-Schwachstelle und dem Kursieren eines funktionierenden Exploits ist immer kürzer geworden, was jeden veralteten Browser in dem Moment angreifbar macht, in dem er auf eine feindselige Seite trifft.
Malvertising: Wenn die Anzeige der Angriff ist
Malvertising liefert Malware aus oder leitet über Online-Werbung um. Anzeigen passen gut zu Angreifern, weil legitime Werbenetzwerke sie an ein großes Publikum ausspielen und sie auf seriösen Seiten auftauchen, die dem, worauf die Anzeige verweist, ein unverdientes Gefühl von Sicherheit verleihen.
Suchanzeigen werden stark missbraucht. Angreifer kaufen Platzierungen für gängige Software-Suchanfragen, sodass ein schädlicher Eintrag ganz oben in den Ergebnissen stehen kann, aufgemacht wie der offizielle Download. Der vertraute Name auf dem obersten Platz trägt das Vertrauen, und die dahinterliegende Seite liefert eine mit einem Trojaner versehene Kopie statt des Tools, das der Suchende wollte.
Die Zielseiten sind bewusst überzeugend gestaltet. Angreifer bilden Layout, Wortwahl und Metadaten des echten Anbieters nach und registrieren dann täuschend ähnliche Domains, die der echten Adresse nah genug kommen, um einen flüchtigen Blick zu überstehen. Der Klick, die Weiterleitungskette und die gefälschte Installer-Seite können allesamt in den wenigen Sekunden durchgehen, die jemand braucht, um die vermeintlich legitime Software zu finden und herunterzuladen.
Die Erkennung ist schwierig, weil der Nutzer jeden Schritt selbst anstößt. Er öffnet den Browser, tippt die Suchanfrage ein und wählt das Ergebnis aus, sodass nichts an dem Ablauf erzwungen oder automatisiert wirkt. Tools, die auf verdächtigen eingehenden Datenverkehr achten, haben so gut wie nichts zu fassen, wenn die Datei von der Person an der Tastatur hereingeholt wurde.
Gefälschte Installer und vergiftete Suchergebnisse
Gefälschte Installer weiten den Malvertising-Gedanken zu einem vollwertigen Auslieferungskanal aus. Statt sich auf eine einzelne bezahlte Anzeige zu verlassen, bauen Angreifer glaubwürdige Download-Seiten für beliebte Software und arbeiten dann daran, diese Seiten überall dort zu platzieren, wo Menschen nach dem Echten suchen.
SEO-Vergiftung ist ein großer Teil dieser Bemühung. Angreifer manipulieren die Suchrankings, sodass ihre schädlichen Seiten bei Suchanfragen zu Software, Treibern und Fehlerbehebung hoch abschneiden. Eine wiederkehrende Methode nutzt gepaarte Forenkonten, wobei eines eine Frage stellt und ein anderes mit einem Link zu einem schädlichen Archiv antwortet, was das vergiftete Ergebnis durch den Anschein einer echten Diskussion nach oben hebt. Höher platzierte Ergebnisse sammeln das Vertrauen und die Klicks, die ein vergrabener Link nie bekommen würde.
Die Wahl der zu imitierenden Software ist gezielt. Eine Kampagne aus dem Jahr 2025, die mit der Ransomware-Gruppe Rhysida in Verbindung gebracht wird, imitierte Download-Seiten für PuTTY, Microsoft Teams und Zoom und kaufte Suchanzeigen, um sie IT-Mitarbeitern und Administratoren vor Augen zu führen. Diese Nutzer suchen ständig nach Dienstprogrammen und gehören zu den wertvollsten Zielen, da ein gefälschtes Admin-Tool die Reichweite dessen erbt, der es installiert hat.
Eine Handvoll Details erledigt den Großteil der Überzeugungsarbeit:
- Kopiertes Branding, bei dem die Seite Design und Texte des echten Anbieters so genau nachahmt, dass sie einer beiläufigen Prüfung standhält
- Täuschend ähnliche Domains, die ein Zeichen einer legitimen Adresse abändern oder sich auf eine plausible Top-Level-Domain stützen, um offiziell zu wirken
- Missbrauch von Code-Signaturen, bei dem die Malware ein echtes, mitunter kurzlebiges Zertifikat trägt, sodass sie als gültig signiert erscheint
- Rollenspezifische Köder, mit vergifteten Suchen, die auf Finanzwesen, Recht oder IT abgestimmt sind, damit der Köder zu dem passt, wonach jede Gruppe üblicherweise sucht
Nichts davon beruht auf einer Software-Schwachstelle. Es beruht darauf, dass die Datei im Moment des Downloads vertrauenswürdig aussieht, und das ist zufällig genau der Punkt, an dem die meisten Endpunkte die wenigsten Richtlinien anwenden.
ClickFix: Den Nutzer dazu bringen, es auszuführen
ClickFix lässt den schädlichen Download weg und bringt den Nutzer dazu, die Schadlast direkt selbst auszuführen. Eine Seite zeigt ein gefälschtes CAPTCHA, eine falsche Fehlermeldung oder einen Schritt zur “Bestätigung, dass Sie ein Mensch sind”, und weist den Nutzer dann an, ein Codeschnipsel zu kopieren und in das Windows-Dialogfeld “Ausführen” oder in ein Terminal einzufügen. Das Befolgen der Anweisungen führt den Befehl des Angreifers aus.
Seine Stärke liegt darin, eine feindselige Handlung als routinemäßige Behebung zu tarnen. Menschen haben sich an umständliche Bestätigungsschritte und die gelegentliche Anweisung “Fügen Sie dies ein, um das Problem zu lösen” gewöhnt, sodass die Aufforderung selten als Angriff wahrgenommen wird. Behördliche Einsatzkräfte haben die Methode in freier Wildbahn verfolgt, darunter eine russische Spionagegruppe, die gefälschte CAPTCHAs zum Ausführen von PowerShell gegen ukrainische Ziele einsetzte. Eine neuere Variante namens FileFix wendet denselben Trick auf einen Dateipfad statt auf das Dialogfeld “Ausführen” an.
Die Abwehr ist gerade deshalb heikel, weil der Nutzer den gefährlichen Schritt von Hand ausführt. Nichts kommt als heruntergeladene ausführbare Datei an, die ein Scanner beim Eintreffen prüfen könnte, da die Schadlast als Text ankommt, den der Nutzer ausführt. Das umgeht einen guten Teil der Kontrollen, die dafür gebaut wurden, Dateien beim Eintreffen abzufangen.
Awareness-Schulungen verringern die Wahrscheinlichkeit, ohne die Lücke zu schließen. Mitarbeitern beizubringen, Aufforderungen im Stil von “diesen Befehl einfügen” zu misstrauen, hilft, auch wenn die Technik darauf ausgelegt ist, genau die Schritte nachzuahmen, die Menschen darauf trainiert wurden, ohne viel Nachdenken zu befolgen.
Den Browser steuern, nicht nur scannen
Jede dieser Techniken nutzt den Moment des Downloads aus, nicht einen einzelnen Fehler. Eine Datei trifft ein, oder ein Befehl läuft, im normalen Verlauf der Browser-Nutzung, und die meisten Umgebungen platzieren zwischen dieser Handlung und dem Endpunkt kaum etwas außer einem nachträglichen Antivirus-Scan. Dieser Scan kann Malware übersehen, die darauf ausgelegt ist, Signaturen zu umgehen, und er wägt nie ab, ob der Download überhaupt hätte erlaubt sein sollen.
Diese Frage zu beantworten erfordert Richtlinien am Moment des Downloads, und das ist die Lücke, die unsere neueste Ergänzung der Zero Trust Platform schließen soll. Admin By Request Web Access Management wird Regeln auf das Surfen und die Downloads am Endpunkt selbst anwenden, sodass die Entscheidung fällt, bevor eine Datei den Nutzer erreicht, statt erst nachdem sie bereits gelaufen ist.
Um zu sehen, wie das funktioniert und wo es sich neben Ihren bestehenden Tools einfügt, lesen Sie unsere Aufschlüsselung von Web Access Management.
Dieser Blog wurde ursprünglich auf Englisch auf unserer Website veröffentlicht. Das Original finden Sie hier.
