Schweizer Anti-Malware-Projekt nimmt 100'000 verseuchte Websites vom Netz

Ende März 2018 hat «abuse.ch» ein neues Projekt namens URLhaus ins Leben gerufen. Dieses hat zum Ziel, URLs zu sammeln, die zur Verbreitung von Schadsoftware verwendet werden. Die Schweizer Initiative «abuse.ch» wird auf der Webseite als Non-Profit-Organisation beschrieben. Sie unterstütze Internet Service Provider und Netzbetreiber dabei, ihre Infrastruktur vor Malware zu schützen, heisst es. Betrieben wird «abuse.ch» von einem «random swiss guy».

Wie dieser in einem Blog-Beitrag schreibt, ist das neue Projekt URLhaus bislang ein «grosser Erfolg». Innerhalb der letzten zehn Monaten sei es gelungen, beinahe 100'000 Malwareschleudern vom Netz zu nehmen. Gleichzeitig habe das Projekt auch die Aufmerksamkeit von vielen Hosting-Providern gewonnen, heisst es weiter. Diesen habe man dabei helfen können, kompromittierte Websites innerhalb des von ihnen gehosteten Netzwerks zu identifizieren und wiederherzustellen. «Dies ist keine leichte Aufgabe, insbesondere für grosse Hosting-Provider. Diese haben Zehntausende von Kunden und damit eine erhebliche Menge an gekaperten Websites in ihrem Netzwerk, die von Cyberkriminellen missbraucht werden, um Malware zu verbreiten.»

Laut den Ausführungen des Initianten von «abuse.ch» werden im Rahmen des Projekts täglich im Schnitt zwischen 4000 und 5000 aktive Malware-Verbreitungsseiten gezählt. «Was viel zu viel ist», wie dieser schreibt. Hier sind Cyberkriminelle noch deutlich voraus. Denn eine Übersicht zeigt, dass pro Tag in der Regel weniger als 1000 Meldungen zu bösartigen Webseiten an Provider gemacht werden können. Einen Peak verzeichnet die Statistik hierbei Anfang September – an einem einzelnen Tag wurden gleich mehr als 3000 Seiten gemeldet, die Anzahl aktiver Malwareschleudern lag jedoch bei über 7000 Seiten.

Über die kompromittierten Websites ist der Trojaner Emotet (auch bekannt als Heodo) seit dem Projektstart am häufigsten verteilt worden, wie die Daten von URLhaus zeigen. Dahinter folgen der E-Banking-Trojaner Gozi sowie der Erpressungstrojaner GandCrab.

Kritik äussert der Betreiber von «abuse.ch» in seinem Blog-Beitrag schliesslich am Vorgehen der Hosting-Provider beim Abschalten von Malware-verbreitenden Seiten. Im Schnitt seien diese nach der Meldung jeweils noch mehr als eine Woche aktiv. «Das ist mehr als genug Zeit, um jeden Tag Tausende von Geräten zu infizieren», schreibt er. Besonders viel Zeit liessen sich Hoster aus China. Sie kämen im Schnitt auf eine Reaktionszeit von mehr als einem Monat. Gerade deswegen stehe der Initiant mit seinem Projekt noch nicht da, wo er stehen wolle. «Eine durchschnittliche Reaktionszeit von mehr von mehr als einer Woche ist einfach zu viel. [...] Es ist einfach nicht akzeptabel, dass Malware-Verbreitungsseiten über einen Monat aktiv bleiben.»

Der Schlüssel zur Erkennung von Malware und Botnetzen sieht er deshalb in der Zusammenarbeit. Das Projekt URLhaus werde aktuell von 265 Sicherheitsforschern unterstützt, die überall auf der Welt verteilt seien und täglich 300 verseuchte Webseiten aufspürten. «URLhaus wäre ohne die Hilfe der Community nicht erfolgreich», lautet sein Fazit.