Das Bundesamt für Sicherheit in der Informationstechnik warnt vor Angriffen auf die Shopsoftware OS-Commerce. Die sind zwar schon länger bekannt, nur kümmern sich Onlinehändler bislang kaum um die Sicherheitslücken.

Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt nun vor Angreifern, die aktuell mehrere Sicherheitslücken in veralteten Versionen des Onlineshop-Systems "OS-Commerce" ausnutzen.

Wie derhandel.de bereits berichtete, nutzen die Angreifer die Sicherheitslücken, um einen schädlichen Code auf dem Shopserver einzufügen. Dieser verweist auf so genannte "Drive-by-Exploits", bei dem der Nutzer seinen Rechner ohne eigenes Zutun infizieren kann.

Wenn ein Konsument einen solchen manipulierten Onlineshop aufsucht, versucht der Code automatisch, verschiedene Schwachstellen im Web-Browser, im Betriebssystem oder anderer auf dem PC des Besuchers der Webseite installierter Anwendungs-Software auszunutzen. Ohne dass der Surfer es merkt wird dann ein Schadprogramm auf dem PC des Nutzers installiert.

Anbieter sollten System überprüfen und aktualisieren

Das BSI rät Betreibern von OS-Commerce-Onlineshops, ihre Version der eingesetzten Software zu überprüfen. Wenn der Händler eine alte Version nutzt, sollte er ein Update auf die aktuellen Versionen 2.3.1 bzw. 3.0.2 durchführen. Die aktuellen Versionen stehen hier zum Download bereit.

Wer bislang eine ältere Version eingesetzt hat, sollte seinen Shopserver dringend auf mögliche Manipulationen überprüfen, rät das Bundesamt. Im Übrigen sind es immer wieder alte Software-Versionen, die Händler im Internet angreifbar machen: Zuletzt gelang es Hackern beispielsweise deshalb, die Seite von Marktkauf zu hacken.

Mehrere tausend Shops infiziert

Nach Erkenntnissen des BSI sind inzwischen mehrere tausend OS-Commerce-Onlineshops weltweit betroffen, darunter auch viele deutschsprachige.

Die von den Angreifern für die Manipulationen ausgenutzten Sicherheitslücken wurden demnach zwar bereits in der vom Hersteller im November 2010 veröffentlichten Version OS-Commerce 2.3 geschlossen. Viele Onlineshops setzten jedoch immer noch ältere Versionen ein.

Auch in der Fachpresse wurde bereits Ende Juli 2011 über diese Angriffe berichtet. Dem BSI zufolge haben Betreiber von Onlineshops bislang jedoch nur zögerlich reagiert und die Manipulationen behoben sowie ein Update der eingesetzten OS-Commerce-Software durchgeführt. Das BSI weist daher aus diesem Anlass auf den "akuten Handlungsbedarf" hin.

Schutzmaßnahmen für Internetnutzer

Internetnutzern empfiehlt das BSI, zum Schutz vor Infektionen ihres Rechners mit Schadprogrammen über Drive-by-Exploits auf die regelmäßige Aktualisierung der Signaturen des eingesetzten Virenschutzprogramms zu achten.
 
Zudem sollen sie alle verfügbaren Sicherheitsupdates für das Betriebssystem und ihre Anwendungs-Software installieren, sobald sie zur Verfügung stehen.