Das Malvertising-Netzwerk des Daniel Yomtobian

Kürzlich entfernte Google hunderte von Chrome Browser-Erweiterungen, weil diese Werbung für schädliche Programme anzeigten (Malvertising) und Betrug mit Werbeanzeigen begingen. Nun wurde der Unternehmer Daniel Yomtobian als einer der Hintermänner identifiziert.

Malvertising auf dem aufsteigenden Ast

Malvertising bezeichnet eine Methode, um über Computernetzwerke schädliche Programme zu verbreiten. Dabei dient oberflächlich gesehen harmlose Internet-Werbung als Vehikel, um Programmcode auszuführen oder nachzuladen. Für einige der Angriffsmöglichkeiten muss der Benutzer nicht einmal auf die Werbeanzeige klicken, damit sein Computer infiziert wird (sogenannter Drive-by-Download). Malvertising-Kampagnen scheinen in letzter Zeit zuzunehmen.

Der Daniel Yomtobian-Fall

Daniel Yomtobian ist der Gründer und CEO des Unternehmens Advertise.com. Das 2001 gegründet Unternehmen Advertise.com ist die, laut deren Webseite , führende Multi-Channel-Plattform für Direktwerbung für Verbraucher. Es verspricht ein Ad Network, bei dem Werbetreibende mit hochwertigem, exklusivem Traffic versorgt werden, indem die Werbeanzeigen per Web-Push-Benachrichtigungen an Benutzer ausgespielt werden. Ist erst einmal nichts verwerfliches, wenn auch diese Schnittstelle die 'Gefahr für Missbrauch' bietet.

When Google removed 500 malveritsing extensions from the Chome store, it didn't say who was running them.

We tracked some of them back to Daniel Yomtobian, an LA entrepreneur who's been selling duvious trafifc to major publishers for a long time:https://t.co/qBRwYAh91q

— Craig Silverman (@CraigSilverman) March 11, 2020

Ich bin aber durch Berichte und Tweets wie den obigen auf einen Bericht von Buzzfeednews aufmerksam geworden.

Massenhaft Chrome-Browsererweiterungen ausgelistet

Mitte Februar hat Google mehr als 500 schädliche Erweiterungen für den Chrome-Browser aus seinem Web-Store entfernt, nachdem Sicherheitsforscher einen entsprechenden Hinweis gegeben haben. Ich hatte im Blog-Beitrag Google entfernt 500 schädliche Chrome-Erweiterungen darüber berichtet.

Den Sophos-Sicherheitsforschern ist damals aufgefallen, dass alle Chrome-Browsererweiterungen den gleichen oder sehr ähnlichen Code verwendeten – auch wenn versucht wurde, das zu verschleiern. In den Beiträgen der Sicherheitsforscher wurde kein Entwickler genannt, dessen Chrome-Erweiterungen aus dem Store geflogen sind.

Buzzfeednews-Recherchen legen die Hintermänner offen

Kürzlich wurde die Browsererweiterung MyPDF durch Google aus dem Chrome-Webshop entfernt. Die Erweiterung wurde mehr als 20.000 Mal installiert, bevor Google aktiv war. Der Grund, warum die Erweiterung aus dem Store flog: Sie hat gegen die Richtlinien von Google verstoßen, so die Erklärung des Unternehmens.

Die massenhafte Entfernung von Erweiterungen war Googles bisher größte Aktion gegen Erweiterungen, die Anzeigenbetrug begehen. Die Erweiterungen versprechen den Nutzern nützliche Funktionen wie die Konvertierung von Webseiten in PDFs. Aber sobald die Erweiterungen installiert sind, injizierten sie Anzeigen und generierten massenhaft ungültigen Traffic für vorgebliche Werbung.

BuzzFeed News hat dann zusammen mit dem Cybersicherheitsunternehmen White Ops und der Girma DoubleVerify recherchiert. Dabei fand man heraus, dass mehr als 60 der aus dem Web-Store entfernten Erweiterungen, die das bösartige Verhalten zeigen, Daniel Yomtobian, dem Gründer und CEO von Advertise.com Inc. gehören. Also einem Unternehmen, das Web-Traffic und digitale Werbung verkauft.

Ein Google-Sprecher bestätigte gegenüber BuzzFeed News, dass die Apps von Yomtobian Teil derselben Malvertising-Kampagne waren. Yomtobian leitet seit etwa 20 Jahren Unternehmen, die PCs mit Adware infizierten und Geld mit dem verdienten, was Sicherheitsfirmen wie White Ops und DoubleVerify als betrügerische Anzeigen bezeichnen.

Anfang März gab Yomtobian zu, ein Unternehmen für Browsererweiterungen zu besitzen. Gegenüber BuzzFeed News teilte er aber mit, das Unternehmen "vor etwa einem Monat" geschlossen zu haben. Er gab gegenüber BuzzFeed News an, dass die von seinen Erweiterungen durchgeführten Anzeigeninjektionen den Nutzern offengelegt wurden und im Einklang mit den Richtlinien von Google stehen. Er bestritt, für betrügerischen oder ungültigen Verkehr verantwortlich zu sein.

"Um es klarzustellen, ich und Advertise.com haben nie ein 'betrügerisches Werbe-Traffic-Schema' betrieben", schrieb Yomtobian in einer E-Mail-Antwort auf BuzzFeed News. "Wir haben niemals 'betrügerischen Traffic erzeugt."

Roy Rosenfeld, der Leiter des Labors von DoubleVerify, gab gegenüber BuzzFeed News an, dass die Erweiterungen von Yomtobian während der Spitzenzeiten "mindestens zehn Millionen Besuche pro Tag auf verschiedenen Websites" umleiteten. Das führte zu Hunderten von Millionen Anzeigeabrufen (Ad Impressions) auf den Seiten. Rosenfeld schrieb, dass der ungültige Traffic auf großen Websites, einschließlich Elle.com, landete. Ein Sprecher von Hearst Magazines, dem Herausgeber von Elle, sagte, das Unternehmen habe "keine kommerzielle Beziehung zu Advertise.com".

Yomtobians Advertise.com hat die Websites großer Verlage wie Bonnier, dem Eigentümer von Popular Science, Edmunds, einem Automobilverlag, und Gannett, dem Eigentümer von USA Today und 260 lokalen Zeitungen, mit Traffic versorgt.

"Wir arbeiten nicht mehr mit Advertise zusammen", teilte ein Bonnier-Sprecher BuzzFeed News mit und lehnte einen weiteren Kommentar ab. Zwei Bonnier-Websites – CycleVolta.com und UTVDriver.com – wurden laut DoubleVerify im vergangenen Jahr von Yomtobian-Erweiterungen mit Traffic versorgt. Eine Quelle, die Bonniers Operationen kennt, sagte, dass der Verlag im vergangenen Sommer die Verbindung zu Advertise.com abbrach. Vorher waren White Ops und eine andere Erkennungsfirma, IAS, mit der Überprüfung seiner Traffic-Provider beauftragt worden. Der daraus resultierende Bericht identifizierte ungültigen Traffic für Werbeanzeigen und wies einige Bedenken im Hinblick auf die Werbepartner auf, so eine Quelle.

Ein Sprecher von Edmunds lehnte es ab, sich zu den Quellen des Datenverkehrs und den Unternehmen, mit denen der Verlag zusammenarbeitet, zu äußern. "Wir arbeiten zur Zeit nicht mit Advertise.com zusammen", sagte ein Sprecher von Gannett.

Langer Rede kurzer Sinn: Den Recherchen von BuzzFeed News nach war Daniel Yomtobian gut im Geschäft mit der Vermittlung von Traffic über Browsererweiterungen. Jetzt scheint sein Kartenhaus aber zusammen zu brechen, da dort wohl systematisch Betrug gegenüber Werbekunden begangen wurde. Weitere Details lassen sich in diesem Artikel nachlesen.