Ein Drive-by-Download ist eine Angriffsmethode, bei der Schadsoftware allein durch den Besuch einer präparierten Webseite auf dem Gerät des Besuchers landet und ausgeführt wird – ohne dass ein Klick, eine Bestätigung oder auch nur eine sichtbare Handlung des Opfers nötig ist. Der Name kommt vom Vorbeifahren (englisch drive by) an einer infizierten Seite.
Wie läuft ein Drive-by-Download ab?
Der Angreifer bringt Schadcode auf einer Webseite unter – entweder auf einer eigens erstellten Fälschung oder auf einer legitimen, zuvor kompromittierten Seite. Beim Aufruf lädt der Browser die Seite samt eingeschleustem Skript. Das Skript prüft Browser, Plugins oder Betriebssystem des Besuchers und nutzt dann eine Sicherheitslücke (Exploit) aus, um die eigentliche Schadsoftware unbemerkt herunterzuladen und zu starten.
Oft arbeiten Angreifer mit Exploit-Kits, die mehrere Lücken bündeln und automatisch die passende auswählen. Ein besonders effektiver Verteilkanal ist Malvertising: bösartige Werbeanzeigen, die über seriöse Werbenetzwerke ausgeliefert werden und Besucher großer Portale erreichen, ohne dass die Portal-Betreiber es bemerken.
Warum ist die Gefahr so groß?
Drive-by-Downloads laufen still ab. Besucher merken oft nicht einmal, dass ihr System infiziert wurde; die Schadsoftware tarnt sich als harmlose Datei oder nistet sich als Dropper ein, der später weitere Malware wie Ransomware, Banking-Trojaner oder Kryptominer nachlädt. Auch vertrauenswürdige Seiten können kurzzeitig zur Infektionsquelle werden, wenn sie kompromittiert sind.
Schutzmaßnahmen
- Aktuelle Software: Browser und Plugins immer aktuell halten; automatische Updates verkleinern das Fenster für bekannte Lücken.
- Keine veralteten Plugins: Flash und Java im Browser sind eingestellt beziehungsweise ein klassisches Einfallstor und sollten entfernt bleiben.
- Browser-Härtung: Sandboxing, Pop-up-Blöcker und Erweiterungen, die Skripte nur nach Freigabe ausführen, reduzieren die Angriffsfläche.
- Reputationsfilter: Webfilter und Sicherheitslösungen mit URL-Reputation blockieren bekannte Malware-Verteilerseiten.
- Endpoint-Schutz: EDR-Lösungen erkennen verdächtige Download- und Ausführungsmuster auf dem Gerät.
Verwandte Grundlagen: Exploit, Sicherheitslücke, CVE, Zero-Day, Malware, Dropper, Fileless-Malware, Watering-Hole-Angriff, Clickjacking.