Ein Exploit-Kit ist ein fertiges Angriffswerkzeug auf einem bösartigen Webserver, das die Browser von Besuchern automatisch auf Schwachstellen prüft und diese ausnutzt, um Malware zu installieren.
Wie Exploit-Kits funktionieren
Ein Angriff mit einem Exploit-Kit verläuft meist in drei Phasen:
- Traffic – Opfer werden von kompromittierten Websites oder über Malvertising auf die Landingpage des Kits umgeleitet, oft über mehrere Stationen, die Forschende und Bots aussortieren.
- Profiling – die Landingpage ermittelt Browser, Betriebssystem und Plug-ins wie Flash, Java oder Silverlight.
- Ausnutzung – das Kit wählt einen passenden Exploit, erlangt Codeausführung und lädt unbemerkt die Nutzlast herunter: Ransomware, einen Banking-Trojaner oder einen Loader.
Der gesamte Ablauf ist ein klassischer Drive-by-Download: Das Opfer muss nur eine Seite aufrufen. Kits wurden als Dienst an Kriminelle vermietet, mit Dashboards voller Infektionsstatistiken, und ihre Autoren bauten neue Browser-Lücken schnell ein – mitunter sogar Zero-Day-Exploits.
Warum Exploit-Kits wichtig waren
Anfang der 2010er-Jahre waren Exploit-Kits einer der Hauptwege, auf denen Malware Heim- und Bürorechner erreichte. Blackhole dominierte, bis sein Autor, bekannt als Paunch, 2013 in Russland festgenommen wurde. Es folgten Angler, Nuclear, Neutrino, RIG und Magnitude; Angler verschwand 2016, nachdem die russische Polizei Mitglieder der Lurk-Bande verhaftet hatte. Danach ging die Aktivität stark zurück, weil Browser schwerer angreifbar wurden, automatische Updates sich durchsetzten und Adobe Flash 2020 sein Supportende erreichte. Kits wie RIG und Magnitude hielten sich länger, indem sie veraltete Installationen des Internet Explorer angriffen.
Wie man sich vor Exploit-Kits schützt
- Browser und Betriebssysteme automatisch aktualisieren und veraltete Plug-ins und Browser entfernen.
- Werbeblocker und DNS-Filter einsetzen, um Malvertising-Ketten zu unterbrechen.
- Exploit-Schutzfunktionen und Endpoint-Sicherheit nutzen, die Kindprozesse des Browsers überwachen.
- Webserver patchen, damit sie keinen eingeschleusten Umleitungscode ausliefern.
