AdCloaking: Aktuell merkwürdige Werbeumleitungen auf Webseiten

Aktuell scheinen auf diversen Webseiten 'merkwürdige' Anzeigenbanner geschaltet zu werden. Diese überlagern die Webseiten und versuchen den Seitenbesucher zum Download nutzloser Software zu verleiten. Wenn ich die Meldungen, die mich heute erreichten, richtig interpretiere, läuft aktuell eine sogenannte AdCloaking-Kampagne, die verschiedene Webseiten getroffen hat.

Ich habe innerhalb einiger Stunden drei Leserrückmeldungen zu diesem Thema bekommen, wobei zwei meinen Blog betreffen.

Meldung 1: Äußerst merkwürdige Anzeigen

Heute Vormittag meldete sich Blog-Leser Andreas, dem etwas sehr merkwürdiges aufgefallen ist. Dazu schreibt Andreas:

auf der Suche nach Info zu KB4522355 auf Ihren Blogeintrag gestoßen und je nach Browser folgende Auffälligkeit entdeckt:

mit Firefox (erwartungsgemäß) quasi alles normal, selbst ohne Skript- & Werbeblocker.

Mit IE11 schleichen sich Seiten ein, welche nichts mit dem Blog oder den offiziellen Werbepartnern zu tun haben. Diese Störenfriede sind nicht regelmäßig und sofort da, was mich vermuten lässt das es in einer "BlinkBlink" – Werbung versteckt ist.

– Mal ist der PC infiziert *höhö*
– mal muss unbedingt Flash aktualisiert werden *achwas*
– Dann habe ich vermeindlich einen Trojaner welcher unbedingt mit Defender entfernt werden soll *neeneenee*
_ Oder ich kann PDFs kostenlos vereinen – download here – *jaja*

Andreas hat ein paar Screenshots angefertigt, die ich nachfolgend mal einstelle. Die Screenshots lassen sich hier im Blog durch Anklicken zoomen, falls wer die URLs ansehen möchte.

Wie bereits von Andreas angemerkt wurde, haben die obigen Anzeigen nichts mit den offiziellen Anzeigen der Werbepartner zu tun. Andreas gibt auch an, dass diese Anzeigen nur im Internet Explorer per Script eingeblendet werden, während sie in anderen Browsern nicht auftauchen.

Ergänzung: Ich habe den Internet Explorer 11 jetzt auch mal einige Zeit parallel zum Chrome mit einer geöffneten Blog-Seite laufen lassen. Irgendwann tauchte dann die obige Anzeige auf. Die Popups konnte ich durch Drücken der ESC-Taste schließen – nur das letzte Pseudo-Fenster mit der System-Warnung war ein Browserfenster – dort konnte ich die IE aber schließen.

Meldung 2: Weitere merkwürdige Werbung

Heute Abend erreichte mich eine weitere Nachricht von Blog-Leser Spike2, der ebenfalls auf merkwürdige Werbeanzeigen hinweist:

[…] blendet Google allerdings im Borncity-Blog (zumindest bei mir) ausschließlich Anzeigen für „Offizielles Windows-Problemlöse-Tool – Hier Downloaden", „Microsoft Windows Problemlöser herunterladen (Empfohlen)" und ähnlichen Unsinn ein – was sich hinter solchen Anzeigen verbirgt, ist ja allgemein bekannt ;)

Für den Fall, daß Sie dies noch nicht wussten (da womöglich jeder User andere Anzeigen erhält), wollte ich Sie hiermit nur darüber in Kenntnis setzen, und hoffe, meinen nun aus Gründen der Sicherheit vorübergehend wieder aktivierten AdBlocker bald wieder abschalten zu können.

Es ist in der Tat so, dass Anzeigen abhängig von dem, was der Nutzer vorher an Webseiten abgerufen hat, unterschiedliche Anzeigen über die Werbepartner angezeigt erhält. Allerdings habe ich bestimmte Kategorien in Filtern bereits geblockt – standardmäßig sollten solche Anzeigen nicht erscheinen – und werden mir auch nicht angezeigt (dafür wird bei mir verstärkt Werbung für lizengo ausgespielt).

Meldung 3: Webseite TAZ leitet um

Dann hat mich Blog-Leser Friedel S. per E-Mail ebenfalls auf ein Problem, diesmal bei der Tageszeitung TAZ, hingewiesen. Er schreibt:

Es scheint, als hätte die Webseite der Tageszeitung TAZ ein Problem:

Aufruf mit IE und Google Chrome brachten hier und bei einem Kunden innert Sekunden eine Weiterleitung auf bösartige Seiten mit sich.

Mit IE kam eine vollflächige Meldung á la "Ich Computer ist verseucht! Laden Sie sofort hier XYZ herunter, um das Problem zu beheben",

bei Chrome kam nach ein paar Sekunden so etwas wie "Ihr Adblock wurde aktualisiert! Wählen Sie unten, wieviel Sie bezahlen möchten"

Ich hatte allerdings auch F5 (Seite neu laden) gedrückt, um evtl. andere Ads "angeboten" zu bekommen, weil ich vermutete, daß "das Böse" mal wieder in einer Werbeanzeige steckt.

Browserfenster schließen schwierig (ALT-F4 aber geht); laut installierten Virenscannern (Echtzeitüberwachung schlug nicht an bei MSSE und GData) und Process-Explorer scheint aber nichts im Speicher zurückgeblieben zu sein.

Das ist auch nicht das erste mal mal, daß das genau bei TAZ.de passiert.

Also ein ähnliche Bild wie bei den beiden anderen Meldungen weiter oben, dieses Mal aber bei der TAZ.

Problem AdCloaking

Das Ganze läuft unter dem Label 'AdCloaking', getarnte Anzeigen, die sich bei den Werbenetzwerken als seriöse Anzeige tarnen, aber auf den Webseiten der Publisher, je nach Browser und Benutzer plötzlich eine Umleitung auf Webseiten mit zumindest obskuren Downloads vornehmen. Die HNA hat zum Beispiel einen Artikel zu diesem Thema publiziert.

Den drei Meldungen nach gehe ich davon aus, dass aktuell wieder eine größere AdCloaking-Kampagne läuft. Ich habe meine Werbepartner über das Problem mit Link auf meinen Artikel hin informiert. Eine Schnellüberprüfung in Google Adsense zeigte mir, dass keine der in obigem Screenshots angezeigten Domains in den offiziellen Anzeigen auftaucht. Ich selbst habe noch keine dieser Anzeigen in meinen Browsern zu sehen bekommen.

Falls ihr solche Anzeigen zu sehen bekommt, keinesfalls etwas herunterladen. Auch nicht auf angebliche Gewinnspiele als Millionste Google-Besucher reagieren. Fertigt ggf. einen Screenshot der Anzeigen an und schickt mir diesen per E-Mail zu. Ich leite die Informationen über die Werbepartner weiter, die dann geeignete Maßnahmen ergreifen und die Werbung unterbinden. Ich empfehle den Cache des Browsers zu löschen, um die Historie zu bereinigen.

Wer einen Adblocker verwenden kann, mag den (ggf. vorübergehend) aktivieren – der sollte diese Art Werbung herausfiltern. Ich hoffe, dass die Werbepartner das Problem recht fix in den Griff bekommen – da mir andernfalls die Finanzierung der Seiten weg bricht.

Ergänzung: Erste Reaktion eines Google-Partners

Ich habe die Nacht die Information über diese Kampagne an Google Adsense und meine Werbepartner weiter gegeben. Mir liegt jetzt eine erste Antwort eines Google-Partners vor.

Ich leite das direkt mal weiter. In der nächsten Woche werden wir auch ein neues Tool in Betrieb nehmen, dass genau so Pop-ups und Malware blockt.

Jetzt muss ich abwarten, was sich diesbezüglich tut und ob über Google bzw. die Werbepartner so was zuverlässig blocken können. Es ist beschissen, als Publisher ermöglicht mir nur Werbung die Finanzierung des Webauftritts in der aktuellen Form. Das direkte Sponsoring ist keine Option, belaufen sich die Einnahmen auf einen dreistelligen Betrag jährlich, hinzu kommen noch 500 – 600 Euro jährlich an Amazon Affiliate-Einnahmen. Ich hoffe nicht, dass ich das Angebot der Blogs hier wegen dieses Mists einstellen muss.