Unser täglich Spam

Aus dem Internet frisch auf den Tisch. Köstlich und aromatisch.


Schlagwortarchiv „Malware“

Warum man nicht mit Google nach freien WordPress-Themes suchen sollte

Mittwoch, 12. Januar 2011

Was herauskommt, wenn fragwürdige Gestalten die Indizes der Suchmaschinen manipulieren, kann man frisch (und in englischer Sprache) im Blog von wpmu.org nachlesen.

Das Problem

Siobhan Ambrose gab einfach nur den Suchbegriff „free WordPress themes“ in Google ein und schaute sich einmal an, was in den Themes der ersten zehn Treffer an fragwürdigem Code enthalten ist – mit folgendem Ergebnis:

  • Nur eine Site bot WordPress-Themes mit sicherem, modernen Code an, der problemlos alle Features der aktuellen WordPress-Versionen unterstützt. Diese Site war die offizielle Website wordpress.org.
  • Eine weitere Site bot technisch veraltete WordPress-Themes an. Diese können zwar durchaus funktionieren, unterstützen allerdings keine aktuelleren Features wie Avatare, die Aufspaltung der Kommentare in Unterseiten, Galerien, Formatierungen der eingebetteten Bilder oder Schlagwörter. Sie wurden also seit Jahren nicht mehr an die Weiterentwicklung von WordPress angepasst. Wer diese Features nicht benötigt, kann diese Themes durchaus verwenden, wird aber Probleme bekommen, wenn die Ansprüche einmal steigen sollten. Es ist ja durchaus kein unüblicher Wunsch, ein linksbündiges Bild mit einer Bildunterschrift einzubetten.
  • Acht Sites boten Themes an, die Spamlinks auf diverse, teils sehr fragwürdige Websites enthielten. In der Regel waren diese Links base64-codiert, also so realisiert, dass sie beim Bearbeiten der Theme-Dateien nicht direkt sichtbar werden und auch nicht leicht vom Anwender zu verstehen und zu bearbeiten sind. Zuweilen waren die Links auch offene SEO-Spam, mit CSS im Blog unsichtbar gemacht, aber weiterhin sichtbar für die Bots der großen Suchmaschinen. Jemand, der halbwegs koschere Absichten hat, würde nicht zu derartigen Mitteln greifen. Darüber hinaus wurde in einigen Themes auch ausgesprochen fragwürdiger und ebenfalls verborgener Code auf dem Webserver ausgeführt, auf welchem das Blog betrieben wird – insbesondere wurden Daten von anderen Servern im Internet nachgeladen und in der WordPress-Datenbank abgelegt. Es handelt sich bei diesen Themes um Spam, SEO-Spam und zuweilen sogar um Schadsoftware.

Kurze Zusammenfassung: Die Suche „free WordPress themes“ in Google liefert überwiegend gefährliche, aufdringlich nach Spam und Bloghack schmeckende Ergebnisse schon auf der ersten Ergebnisseite. Ein naiver Benutzer, der sich auf Google verlässt, ist verlassen und verwandelt sein selbstgehostetes WordPress-Blog in eine Spamschleuder oder stellt gar seinen Webspace Gestalten zur Verfügung, die in meinen Augen besser mit einer Gefängniszelle bedient wären. Ein „hübscher“ Beleg für die Tatsache, dass Google für Produkt-Suchen aller Art völlig nutzlos geworden ist.

Was tun?

Was soll nun aber ein interessierter Blogger machen, der gern ein hübsches Theme hätte, wenn er sich nicht einfach „schnell“ eines selbst machen kann. Die wenigsten Menschen werden Lust haben, nur für diesen einen Anwendungsfall PHP, CSS und HTML in der erforderlichen Breite zu lernen – man hat ja auch noch ein „richtiges Leben“. Ein nützliches Feature von WordPress, nämlich die einfache Anpassung des Designs durch das Hochladen und Aktivieren eines fertigen Themes, ist nutzlos geworden, weil das Angebot von Verbrechern und fragwürdigen SEO-Idioten überflutet wird, die über dieses Einfallstor Schadsoftware und Spamlinks auf private Websites bringen. Ein weiterer Schaden der Spam an einer Stelle, wo zunächst derartige Schäden gar nicht vermutet würden.

Nun, guter Rat ist gar nicht so einfach.

Wer sich bei seiner Theme-Suche auf offizielle WordPress-Sites beschränkt, ist auf einer relativ sicheren Seite. Die Themes, die bei wordpress.org oder bei WordPress Deutschland angeboten werden, haben eine breitere Nutzergemeinde, und sollte es dort einmal jemanden gelingen, ein „verseuchtes“ Theme hochzuladen, so ist die Wahrscheinlichkeit hoch, dass ein derartiger Missbrauch schnell erkannt und in offener Diskussion erörtert wird, was zum schnellen Entfernen des dreisten Versuches führen würde.

Doch selbst an solchen Stellen ist eine gewisse Aufmerksamkeit angemessen. Ein WordPress-Theme ist immerhin ein Stück Software, mit dem es einem anderen, in der Regel relativ anonym bleibenden Menschen ermöglicht wird, Code auf einem Webserver auszuführen. Diese Möglichkeit ist für Verbrecher und Spammer ausgesprochen attraktiv – es können Anmeldedaten ausgespäht, Links gesetzt, illegale und kriminelle Downloads angeboten und sogar gebloggte Text nachträglich verändert werden, wenn es gelingt, Bloggern ein verseuchtes Theme unterzujubeln. (Genau das gleiche gilt übrigens auch für Plugins, aber hier werden die meisten Menschen aufmerksamer und deshalb weniger geneigt sein, ein Plugin aus „irgendeiner“ Quelle zu verwenden.) Letztlich ist es eine Design-Schwäche von WordPress, dass Themes aus ausführbarem Code bestehen, und jeder WordPress-Anwender muss mit dieser Schwäche leben.

Um etwas selbstverantwortliches Handeln kommt also niemand herum. Das ist die wohl allgemeinste Aussage, die in Bezug auf Spam getroffen werden kann. Einfache, automatisiche Verfahren zur Erkennung fragwürdiger Themes – es gibt derartige Plugins – können nur eine Ergänzung sein und sind insofern gefährlich, als dass sie ein trügerisches Gefühl von Sicherheit erzeugen können. Natürlich kennen die Halunken, die einem Blogger ein Spam-Theme andrehen wollen, diese Plugins auch und werden gegebenenfalls nach Lücken in den automatischen Scans suchen, sollten derartige Plugins jemals eine größere Verbreitung finden.

Die folgenden Tipps sind nicht vollständig und liefern keine 100prozentige Sicherheit, aber sie helfen doch gegen die Mehrzahl der Versuche, ein Theme zur Spam zu machen:

  1. Nach Möglichkeit auf offizielle WP-Sites zurückgreifen!
    Hier sind die Chancen am größten, dass die Themes (und anderer Code) sauber sind.
  2. Vor der Installation Google fragen!
    Hat sich der Anbieter dieses Themes einen schlechten Ruf erworben, wird in Foren darüber diskutiert, dass die angebotenen Themes mit Spamlinks oder Malware angereichert sind? Wenn ja, denn herrscht Alarmstufe Rot. Natürlich kann einmal eine Panne passieren, aber Themes aus einer derartigen Quelle sollten mit äußerster Vorsicht behandelt und im Zweifelsfall besser gemieden werden.
  3. Keine automatische Theme-Installation!
    Es ist wirklich einfach geworden, direkt aus dem WordPress-Dashboard heraus ein Theme zu installieren. Der Nachteil ist, dass man bei diesem Vorgang die Theme-Dateien nicht mehr zu Gesicht bekommt und gar keine Chance mehr hat, sie zu überprüfen. Sicher, die Themes kommen aus einer seriösen Quelle und werden hoffentlich kurz überprüft. Aber warum sollte grundlos vertraut werden, wenn eine Kontrolle möglich ist? Jemanden anders ein Theme installieren lassen, bedeutet, dass man diesem Jemanden das Privileg einräumt, Code auf dem Webserver der eigenen Homepage auszuführen – solche Privilegien kann man vielleicht einem persönlich bekannten Menschen gewähren, aber in einem anonymen, technischen und abstrakten Medium ist das immer gefährlich. Zum Beispiel ist der Server, von dem die Themes heruntergeladen werden, ein Ziel, das wohl mancher Kriminelle gern angreifen würde, um auf diese Weise Schadsoftware und Spam zu verbreiten. So ein Angriff kann auch einmal gelingen, und wenn er gut durchgeführt wurde, kann er sogar eine beachtliche Zeitlang unbemerkt bleiben¹.
  4. Den Quelltext des Themes anschauen!
    Der Quelltext besteht aus ganz normalen Textdateien, die man sich in jedem Editor anschauen kann – Windows-Anwendern empfehle ich übrigens die Installation des für „normale“ Menschen gut bedienbaren Editors Proton, da Notepad eher ein Not-Pädd ist – und sich einmal anschauen sollte. Selbst, wenn man kein PHP lesen kann. Kein Programmierer macht seinen Quelltext ohne Not kryptischer, als es sein muss. Wenn in einem Theme Variablennamen wie $D8A0OQXQ0, oder auch Zeichenketten wie "U2NoYWRjb2Rl" oder "Vpu ova rva fcnzzraqre Vqvbg" auftauchen², denn will ganz offenbar jemand etwas verbergen. Warum sollte man das tun? Es gibt keinen Grund dafür, in einem offenen Quelltext Dinge verbergen zu wollen. Es ist ein ganz sicheres Zeichen dafür, dass in diesem Theme Dinge geschehen, die ein Leser ohne besondere Kenntnisse nicht nachvollziehen können soll.
  5. Den Quelltext durchsuchen!
    Es gibt PHP-Funktionen, die in einem WP-Theme niemals benötigt werden und dort (in aller Regel) nichts zu suchen haben, aber sehr gefährlich sind. Das gilt insbesondere für fsockopen, urlencode, fread, fwrite, system, exec und eval. Die Suchfunktion des Editors kann solche Funktionsaufrufe recht schnell finden. Wer den Proton benutzt, sollte sich einmal das „dateiübergreifende Suchen“ anschauen³. Wenn eine der benannten Funktionen in den Themedateien auftaucht, ist das ein sehr starkes Indiz dafür, dass etwas nicht in Ordnung ist. Im Zweifelsfall sollte von der Verwendung des Themes Abstand genommen werden. Aber selbst, wenn derartige Funktionen nicht auftauchen, können immer noch spammige SEO-Links im Theme enthalten sein.
  6. Das Theme anschauen!
    Was für Links erscheinen im Theme? Ist da ein Link auf die Homepage oder ein Blog des Designers? Gut, diese Eigenwerbung sei ihm für sein Geschenk gegönnt. Ist da ein Reklame-Link auf irgendeinen kommerziellen Anbieter oder Dienstleister, der auf diese Weise in Google und Konsorten nach oben gebracht werden soll? Da stinkt schon gewaltig. Gibt es irreführend beschriftete Links? Nicht gut. Gibt es Links, die nur erscheinen, wenn man JavaScript eingeschaltet oder ausgeschaltet hat? Alarm! Niemand muss einen seriösen Link mit JavaScript verstecken.
  7. Das Theme genau anschauen!
    Zu guter Letzt sollte das Theme noch einmal ganz genau betrachtet werden, um mit CSS versteckte Links zu finden. Wer den Firefox als Browser verwendet – und wer tut das nicht – hat es relativ einfach. Im Menü Ansicht ▷ Webseiten-Stil gibt es die Option „Kein Stil“. Wenn sie aktiviert wird, denn wird für die Darstellung der Seite kein CSS verwendet. Nun können auch versteckte Links gut erkannt werden. Ein Link, der in dieser Ansicht sichtbar ist und beim normalen Betrachten nicht auffällt, ist ein deutliches Indiz dafür, dass hier persönliche Blogs in SEO-Spamschleudern verwandelt werden sollen. Von einem Klick auf derartige Links rate ich ab. Das Versteckspiel ist deutlich genug in seiner Botschaft, die sich nur an die Bots von Suchmaschinen richtet. Websites, die mit solchen Methoden nach oben gebracht werden sollen, sind Websites von fragwürdigen und oft kriminellen Zeitgenossen.

Ich hoffe, dass diese – wohlgemerkt: unvollständigen – Tipps vielen Menschen dabei helfen, Spam- und Malware-Themes für WordPress zu erkennen und zu meiden. Die meisten Versuche, jemanden unerwünschten Code in sein Blog zu schmuggeln, lassen sich mit den beschriebenen Methoden entdecken, ohne dass besondere Kenntnisse in PHP erforderlich wären. Wenn sie ein bestimmtes Theme unbedingt einsetzen möchten, sie sich aber nach dieser Lektüre und einigen Tests unsicher geworden sind, ob dies gefahrlos möglich ist, kann ich ihnen auch nur empfehlen, sich an jemanden zu wenden, der die Quelltexte verstehen kann. Zum Glück für uns alle gibt es ein Internet. Eventuell ist das Forum von WordPress Deutschland eine gute erste Anlaufstelle.

Spam verschwindet erst, wenn wir alle ihr keinen Raum mehr geben, die von den Spammern erwünschten Wirkungen zu entfalten.

¹Aber klar, ich weiß, was ein intrusion detection system ist. Ich hoffe auch, dass es eingesetzt wird. Ich weiß aber nicht, ob es eingesetzt wird. Außer den Serverbetreibern weiß das niemand. Wenn Vorkehrungen getroffen werden, denn wird dies nicht kommuniziert, wird für unerheblich gehalten. Man soll vertrauen. Blind und unwissend vertrauen. Allein bei dieser Haltung werde ich skeptisch.
²Beides sind übrigens keine willkürlich gewählten Texte… 😉
³Wer ein unixoides System benutzt, wird vielleicht mein kleines Shellskript mögen.

Ihr Geld ist da

Donnerstag, 1. Oktober 2009

Wisst ihr, was so toll an meiner glibberigen, virtuellen Spamtonne ist? Alle wollen mir immer wieder nur Geld schenken, ganz ganz ganz viel Geld. :mrgreen:

Sehr geehrte Damen und Herren,

vielen Dank für ihre Anmeldung […]

Wie, ich hab mich bei euch angemeldet und dabei doch ganz bestimmt irgendwelche Daten eingegeben, und ihr habt kmeine bessere Anrede als „Sehr geehrte Damen und Herren“? Das glaubt euch doch nur ein völlig Enthirnter.

[…] bei unserem Online Casino Lucky-Games. Bitte holen Sie ihr Geld Gewinn über 136,52 Euro ab. Danke

Nee, bei so einem illegalen Glücksspiel würde ich mich auch niemals anmelden.

Hier sind ihre Zugangsdaten:

Ihr User Name: cyberstar-1024768

Ihr Passwort: Eritukjuhu

Hihi, das sind ja tolle „Zugangsdaten“! Und weil man mit diesen „Zugangsdaten“ seinen „Geld Gewinn“ abholen kann, schickt ihr diese „Zugangsdaten“ in einer unverschlüsselten Mail im Klartext und für jeden offen lesbar durch ein feindseliges Internet. Wenn ich wirklich bei euch Kunde wäre, denn wäre ich es nach so einer Aktion nicht mehr.

Aber jetzt macht ihr doch noch einen auf Technik:

Ihre IP Adresse wurde bei der Anmeldung gespeichert.

Ihre IP: 217.136.112.153

Uhrzeit: 21:47 Uhr

Damit könnt ihr vielleicht Laien beeindrucken, aber ich weiß genau, dass ich diese IP-Adresse niemals hatte. Und selbst, wenn ich eure kriminelle Masche für glaubwürdig hielte, würde ich auf diesem Hintergrund auch nicht mehr glauben…

Auf ihren Spielerkonto sind aktuell:

Betrag: 136,52 Euro

Letzte Kontobewegung: Gestern um 21:47 Uhr.

…dass ich gerade irgendwelches Geld auf irgendeinem Konto herumliegen habe, dass mir aus einer Laune des Nichts einfach so in die Taschen gefallen ist.

Fragt sich eigentlich nur noch, was ihr wirklich wollt. Aber das teilt ihr ja auch gleich mit:

Sie können ihr Geld einfach und direkt auszahlen lassen.
Downloaden und Starten Sie einfach kostenlos die Casino Software dann können Sie sofort über ihr Geld verfügen

http://luckygames365.net

Ihr wollt, dass man sich die Software von spammenden Verbrechern auf seinen Computer runterlädt und installiert. Na, bei diesem Spiel ist nicht mit allzuviel Glück zu rechnen.

Unser Online Casino hat ein Gütesiegel vom Computer Bild und ist Testsieger von 2009.

Wie, schon wieder? Das hattet ihr 2008 doch auch schon. Und auch 2008 ist euch nicht eingefallen, dass man mal die Ausgabe der „Computer Bild“ benennen könnte, in der euch dieses tolle „Gütesiegel“ verliehen wurde. Und ihr seid auch nicht auf die Idee gekommen, mal eben auf den entsprechenden Artikel in der Internet-Präsenz der „Computer Bild“ zu verlinken. Obwohl ihr doch eigentlich mächtig stolz auf so eine Auszeichnung sein müsstet. Und wisst ihr, warum ihr niemals auf diese nahe liegende Idee gekommen seid? Weil eure Geschichte mit einem „Gütesiegel“ von der „Computer Bild“ (für in der BR Deutschland illegales Glücksspiel immerhin!) erstunken und erlogen ist. Darum könnt ihr dazu nix weiter angeben. Und trotzdem soll man euch so sehr vertrauen, dass man sich eure Drecksprogramme von eurer kriminellen Betrügerwebsite runterlädt und sich diese auf seinem Rechner installiert. Da müsste man aber ganz schön amputiert sein. 😆

Einfach mal kostenlos und unverbindlich Testen.

Ihr könnt mich einfach und kostenlos und unverbindlich am Allerwertesten lecken!

Jackpot: 2.454.233 Euro

Über 100 Spiele alle in Deutsch.

24 Std. Gewinn Auszahlung Weltweit.

Multiplayer Spiele.

http://luckygames365.net

Echt, ihr seid ja sowas von toll, dass man das ohne eure schmeißfliegenhaft aufdringliche Drecksspam gar nicht mitkriegen würde. Und das beste: Wenn man eure schmeißfliegenhaft aufdringliche Drecksspam nicht mehr haben will, denn soll man auch dafür die gleiche Website von organisiert Kriminellen besuchen, auf die man sowieso die ganze Zeit gelotst werden soll:

Newsletter Abmelden ? Ganz einfach hier:

http://luckygames365.net

Ich würde wetten, dass sich dort jedes nicht völlig dichtgemachte Rechnersystem etwas einfangen kann, was niemand auf seinem Rechner haben will.