Delisting...Die neue Masche um Spyware und Trojaner an Schutzprogrammen vorbeizuschleusen.

ACHTUNG...!!!!

Dieser Artikel entspricht meinem fortlaufenden Kenntnisstand
ab Juni 2004 und beruht auf Informationen verschiedener PC Fachforen und Securityseiten.
Für Rechtsnachteile, die Dritten aus der Verwendung dieser Infos entstehen, wird nicht gehaftet!

Wie gefiele Ihnen der Gedanke, dass auf Ihrem PC Ad- und Spyware munter ihr Unwesen treiben,
obwohl sie regelmäßig mit Antispywaretools danach scannen und diverse Wächtermodule permanent im Hitergrund laufen?
Und das nur, weil einige Hersteller von lästiger Schnüffelsoftware klammheimlich erreicht haben,
dass ihre Tools von einigen Schutzprogrammen nicht mehr erkannt werden?

Sie meinen, dass könne nicht sein,
wäre lediglich ein paranoides Horrorszenario?

Leider ganz FALSCH!!!!

Viele haben es ja vielleicht schon länger vermutet......
Nun ist es leider traurige Gewißheit geworden:
Eine neue Entwicklung in der Spywareszene stellt das Vertrauen der Anwender
in bekannte Antispywaretools auf eine harte Probe.
Der aus dem englischsprachigen Raum schon länger unter dem Begriff "Delisting" bekannte Usus
bedeutet nichts weiter, als bereits bestehende Einträge in den Signaturlisten der Spywarescanner löschen zu lassen.

Dies geschieht natürlich durchaus mit Recht immer dann,wenn der Eintrag entweder falsch war
oder nicht relevant genug ist um nach den internen Kriterien der Antispywarehersteller als schädlich eingestuft zu werden.
Da diese Kriterien aber bisher keinem offiziellen Sicherheitsstandard entsprechen müssen,
sondern bei jedem Hersteller im völlig rechtsfreien Raum und ganz nach Belieben definiert werden dürfen,
ist einem potentiellen Mißbrauch durch Hersteller und Dritte natürlich Tür und Tor geöffnet.

So sollen zum Beispiel:

Lavasoft (Ad-Aware)

Aluria (Spyware Eliminator)

Etrust (Pestpatrol)

bereits schon vor geraumer Zeit ganz bewusst
einige bisher als Spyware erkannte Programme aus den Signaturen
ihrer Schutzsoftware herausgenommen haben.

Seitdem können unter anderem Schnüffelmodule
von Claria und WhenU nicht mehr erkannt werden.
Beide Firmen sind einschlägig für die Verbreitung von unerwünschten Werbeprogrammen und für Software
zum Erfassen des Surfverhaltens bekannt -
Claria ist beispielsweise eine Nachfolgeversion der bekannten Gator -Spyware.

Beide Unternehmen sollen darum "gebeten" haben, ihre Tools aus den Erkennungs-Signaturen zu entfernen.
Dies kann durch Bestechung genauso geschehen sein, wie mittels einstweiliger Verfügungen oder Gerichtsurteile.
In diesen muss der Kläger u.a. nur glaubwürdig belegen,dass die Signatur seines Tools zu Unrecht besteht
und/oder einen Wettbewerbsnachteil bzw.eine Geschäftsschädigung darstellt.
Dabei könnten im Erfolgsfalle solcher Klagen bei der aktuellen, schwammigen Rechtslage leicht Schadenersatzforderungen
im 6-7 stelligen Euro-Bereich auf die Antispywarehersteller zukommen.
Verständlicherweise werden diese dann eher eine bestehende Signatur mittels dem nächsten Update wieder entfernen,
als sich auf unsichere Prozesse einzulassen.

So würde ich dann wohl auch den aktuellen Fall beurteilen, in dem unter anderem von Lavasoft nachweislich die Signaturen
mindestens zweier Spywaremodule nachträglich entfernt hat.
Und zwar vermutlich, weil mit entsprechenden Klagen von Seiten der der Spyware-Hersteller Claria und WhenU gedroht wurde.
Und das ist wohl nur die Spitze vom Eisberg.......

So fiel mir schon in der Vergangenheit des öfteren auf, dass einmal gefundene Registryeinträge der älteren Versionen von
Ad-Aware 5x-6x nach einem Update der Signaturdatei plötzlich nicht mehr erkannt wurden.

So zumindest die offizielle Version....

Aber wäre es nicht auch durchaus denkbar, dass eine entsprechende Einzahlung auf die Geschäftskonten
von Lavasoft den gleichen Effekt bewirkt haben könnte?

Die Nutzer von Ad-Aware und anderen betroffenen Produkten merken davon natürlich zunächst einmal gar nichts,
sofern sie nicht mit verschiedenen Scannern hintereinander arbeiten oder verschiedene, alte Signaturdateien reloaden.

Es empfiehlt sich also durchaus, auch alle älteren Signatur-Dateien aufzubewahren,
falls die beschriebene Tendenz zukünftig noch weiter einreißen sollte.

Abhilfe:
Wichtigste Maßnahme wären eine brauchbare und eindeutig definierte Rechtslage sowie genormte Kriterien,
deren Inhalt und Einhaltung von amtlicher Seite, etwa in Deutschland durch das
Bundesamt für Sicherheit in der Informationstechnik überwacht und zertifiziert werden müßten.

Mittelfristig könnten die User der Antispywaretools durch entsprechende Listen auf den Herstellerwebsites
Newslettern oder auch direkt beim Update der Signaturen über aktuelle Änderungen wie etwa einem
erfolgten, "legalen" delisting informiert werden.
So würde zumindest vermieden, dass der User in blindem Vertrauen einem gefährlichen, weil falschen Sicherheitsbewusstsein
zum Opfer fällt, nur weil der Scanner bedenkliche Produkte einfach ignoriert.

Spybot hat. wie ich meine, das Problem schon relativ gut gelöst.
Im neuen S&D 1.4 kann der User unter der Registerkarte Einstellungen...Produktausnahmen...
jederzeit jedes gelistete Produkt in die Erkennung einbeziehen oder auch davon ausnehmen.
Spybot hat lediglich der Fairnes halber einige, wenige Produkte in der Listenach erfolgter Programminstallation
standardmäßig deaktiviert.(Zum Berispiel hier: CDilla)
Diese Ausnahmen sind jedoch nur als reine Empfehlung zu verstehen und Sie können nun
die voreingestellten Deaktivierungen entweder annehmen oder nach eigenem Ermessen wieder aufheben.
Setzen oder entfernen Sie das Häkchen vor den einzelnen Produkten
oder nutzen Sie das praktische rechte Kontextmenü um alle Produkte zu blockieren oder zu aktivieren.
Ich empfehle Ihnen alerdings die Komplette Blockade...Denn wer braucht schon Ad-oder Spyware?

Dabei sind alle Produkte vorbildlich nach Klassen sortiert und nochmals insgesamt alphabetisch aufgelistet.
So findet man praktisch jede Signatur gezielt und in Sekundenschnelle.

Meine Meinung:
Spybot leistet, wie schon so oft in der Vergangenheit, mal wieder beispielhafte Pionierarbeit.
Vor Programmierern wie Patrick Kolla kann ich nur anerkennend den Hut ziehen.

Und sollte der aktuellen Tendenz eines käuflichen, illegalen Delistings
nicht geschlossen von Seiten aller Antispyware-Hersteller und so schnell wie möglich Einhalt geboten werden,
ist es möglicherweise nur noch eine Frage der Zeit, bis weitere Antivirenprogramme, Firewalls und andere Sicherheitstools
davon betroffen sind und im Untergrund der Softwareindustrie ein völlig undurchsichtiger Filz zwischen
Malware- und Antimalwareherstellern aufblüht, den paranoide Menschen wie ich ohnehin ja schon lange vermuten......
Denn schließlich liegt genau hier noch ein gewaltiges Abzockpotential im juristischen Graubereich brach,
welches nur richtig aufgeschlossen und genutzt werden müßte.

Der User ist bei derartigem Transparenzverlust wie immer der Dumme während sich die beteiligten Softwarefirmen,
allen voran natürlich Microsoft & Co, weiterhin und zukünftig munter die Gewinne teilen.
Auf diese Art ergattern dann also auch zahlungskräftige Malwarehersteller bequem ein großes Stück vom Kuchen.
Dabei macht es auch keinen Unterschied, ob man nun Freewareversionen nutzt oder ein käufliches Programm erwirbt.
Sobald es um viel Geld geht, verwischen auch in der IT-Branche erfahrungsgemäß rasch die Grenzen zwischen Gut und Böse.

Daran ändert auch der bisher gute Ruf einer Firma nicht mehr allzuviel.
Man denke nur an einstmals vertrauenswürdiger Firmen wie z.B. Symantec, die sich vor noch nicht allzulanger Zeit
in ihren Einstellungen bezüglich Sicherheit auf angenehme Art von Mikrosoft
und seinen diversen gefügigen Tochterfirmenzombies unterschieden.
Spätestens jedoch seit Einführung der neuen und wirtschaftlich sehr erfolgreichen Konsumpolitik von Mikrosoft mit Win XP
ziehen sie alle mehr oder weniger am gleichen Strang und degradieren sich damit selbst zu abzockenden Trittbrettfahrern.

Bitte beachten Sie dazu auch meine

Schwarze Liste

Es bleibt also nur abzuwarten, bis erste Gerichtsverfahren endlich saubere Präzedensfälle schaffen,
um mit klaren Urteilen einen Missbrauch ausschließen und so einen längst überfälligen,
weiteren Beitrag zur Rechtssicherheit der neuen Medien leisten.

MEIN KOMMENTAR

Spyware ist nicht gleich Spyware!

Zwischen den einzelnen Spyware-Varianten klaffen tatsächlich himmelweite Unterschiede.
Besonders gefährliche Versionen dieser Spezies nehmen ungefragt Änderungen
an den Einstellungen des PCs oder des Browsers vor.Zum Beispiel
im harmlosesten Falle kann dies das Ändern der Startseite im Browser sein,
oder aufpoppende und unerwünschte Werbung auf den Desktop sowie in der Bedienungsoberfläche
von Free- oder Sharewareprogrammen.

Dies sind, wie gesagt, noch harmlose Varianten.
Andere Module dagegen ermitteln dagegen in illegaler Weise Ihr Surfverhalten
oder schreiben gar als Keylogger
jede erdenkliche Tatatureingabe einschließlich aller Passwörter mit,
um sie anschließend in langen, meist verschlüsselten Logdateien via Internetverbindung
an den Hersteller oder eine andere ominöse Internetadresse zu übermitteln.

Claria und WhenU behaupten, dass ihre Programme keinerlei illegale Aktivitäten ausüben würden.
Sie würden vor allem keine bestehenden Sicherheitslücken ausnutzen um sich ungefragt zu installieren.
Sie betonen, dass allein schon damit, dass der Name eines Spyware-Produzenten
in den Signaturenlisten zusammen mit wirklich gefährlicher Software auftauchen würde,
eine Rufschädigung verbunden wäre.

Die unterschiedlichen Kriterien zwischen den einzelnen Anti-Spyware-Herstellern
für die Zusammenstellung der Spywarelisten sind bisher weder genormt noch frei zugänglich.
Ansonsten könnten ja auch die Spywarehersteller ihre Software selbst so programmieren,
dass sie von den Antispyware-Programmen nicht mehr erkannt würden.

Und bei bisheriger, unklarer Rechtslage mangels eines zertifizierten Signaturstandards
könnten entsprechende Klagen in einem Prozess durchaus Erfolg haben.

Es ist daher ratsam, immer mehrere Antispyware-Programme parallel einzusetzen.
Also zum Beispiel nicht nur auf Ad-aware zu vertrauen,
sondern auch noch mit Spybot Search & Destroy und Antivir 6 den PC zu scannen.

Von Microsoft Antispyware ist allerdings abzuraten.
Ich weise ich darauf hin, dass Microsoft vor dem Download
überprüfen möchte,ob auf Ihrem PC eine bestimmten Kriterien entsprechende und rechtmäßig
registrierte Windowsversion installiert ist....

Mit einer entsprechenden Eingabemaske stimmen Sie der Überprüfung
entweder zu oder verschieben diese erst einmal auf einen späteren Zeitpunkt.

Wollen Sie die gedownloadete Install.exe unter Win98 dann endlich ausführen,
weist der Installationsassistent Sie vorab darauf hin,
dass mindestens eine IE-Version 6.0 erforderlich ist.
Für mich alleine schon ein Grund,
auf die Dienste von Microsoft dankend zu verzichten.

Filz hat Folgen!

Laut Onlinevoting in aktuellen Foren sind mittlerweile
zeitweise bereits über 60 % der User der Ansicht,
dass zumindest Lavasoft nach dem Delisting nicht mehr zu trauen wäre.
Wenn auch Sie sich an dem Voting beteiligen wollen,
klicken Sie bitte hier:

http://castlecops.com/modules.php?name=
Surveys&op=results&pollID=29

Interessant wäre an dieser Stelle dann natürlich auch noch die Frage,
ob Microsoft mit seinem neuen Scanner eigentlich auch die eigenen Spywaremodule
wie z.B.: Alexa & Co. aus dem Internet Explorer entfernt.
Für entsprechende Hinweise wäre ich sehr dankbar.

Mittlerweile scheint Delisting leider zum normalen Usus vieler Antispywarehersteller geworden zu sein.
Die folgenden Meldungen auf Heise .de dokumentieren den aktuellen Stand ab 2015:

Acceptable Ads:
Auch Adblock lässt "nicht-nervende"
Werbung durch (02. Oktober 2015)

Die Kölner Firma Eyeo (Adblock Plus) hat ihren größten Konkurrenten ins Boot geholt: Das beliebte Browser-Plug-in Adblock hat sich der Acceptable Ads-Initiative angeschlossen. Der Gründer verlässt die Firma. Die Firma hinter dem Browser-Plug-in Adblock hat sich der Acceptable Ads-Initiative für "nicht-nervende" Werbung angeschlossen. Damit kommen die Bemühungen des Adblock Plus-Herstellers, eine eigene Plattform für Werbetreibende aufzubauen, einen großen Schritt weiter...

Adblock Plus:
Auch Microsoft zahlt für Platz
auf der Whitelist (03. Februar 2015)

Google und Amazon zahlten bereits an die Betreiber des Plugins Adblock Plus, um von der Werbeblockade ausgenommen zu werden. Offenbar hat Microsoft nun nachgezogen. Außerdem gibt es neue Hinweise darauf, um wie viel Geld es geht. Um von der Werbeblockade des Browser-Plugins Adblock Plus ausgenommen zu werden, haben Google, Amazon, Microsoft und die Werbeagentur Taboola an die Betreiber Eyeo Geld bezahlt. Das berichtet die Financial Times unter Berufung auf vertrauliche Dokumente, deren Existenz der Zeitung gegenüber bestätigt worden sei.