Ergebnis unserer Messungen

Drei Ehrlichkeitsregeln stützen diese Zahl – ohne sie wäre sie wertlos. Eine Website nicht erreichbar heißt nicht sauber: Sie fällt aus der Berechnung heraus und wird namentlich genannt. Die Quote wird auf den tatsächlich analysierten Websites berechnet, niemals auf der Ausgangsliste. Und Härtungsempfehlungen – etwa ein fehlender Sicherheits-Header – zählen nicht: Sie raten, sie beschuldigen niemanden.

Das zweite Korpus ist das härteste, das es hier gibt: ein vollständiger PrestaShop-Kern, also genau der Ort, an dem vollkommen legitimer Code den ganzen Tag lang das tut, was ein Schadprogramm tun würde.

Beide Korrekturen wurden in beide Richtungen gemessen: Auf den 27 Websites kehrte Ruhe ein, und die Erkennung hat sich um keinen einzigen Implantat-Fund bewegt – 19 von 19. Das ist die Bedingung, die wir uns auferlegen: Eine Abschwächung, die eine Erkennung kostet, wäre keine Korrektur, sondern Schönfärberei.

Hinzu kommen 1 535 automatische Prüfungen, von denen eine ganze Klasse nur aus einem einzigen Grund existiert: sicherzustellen, dass eine harmlose Ergänzung auf einer mit Implantaten bestückten Website niemals einen Befund verschwinden lässt.

• Diese 27 Websites sind ein Panel, nicht das Web. Eine Website, die etwas täte, was wir nie gesehen haben, könnte einen Fehlalarm erzeugen: Die gemessene Quote sagt, was wir beobachtet haben, nicht, was nicht passieren kann.
• Die externe Analyse ohne Serverzugang sieht nur, was die Seite zeigt. Sie ersetzt nicht die Serveranalyse — und genau diese wird von den 19/19 und den 28.972 Dateien gemessen.
• Die in einem isolierten Browser ausgeführte Seite wurde gesondert gemessen, auf sechs großen werbefinanzierten Websites: keine Anschuldigung, nur ein Inventar. Was diese Websites kontaktieren, ohne es anzukündigen, wird benannt; nur der Ruf eines Ziels oder eine Passwortseite klagt an.
• „Gerechtfertigt“ heißt nicht „sicher“. Eine Website, bei der jede Datei ihre Anwesenheit rechtfertigt, kann eine bekannte Schwachstelle, ein gestohlenes Passwort oder eine vom Hersteller signierte bösartige Erweiterung haben.
• Die Wiederherstellung ist auf offiziellen Bäumen bewiesen, nicht auf Kundenseiten: es ist die Version des Herstellers, die überschrieben wird, mit Fingerabdruck vor dem Schreiben geprüft und danach wieder eingelesen. Eine Datei ohne Hersteller – Ihr eigener Code – wird nie überschrieben.
• Ein Implantat wird von uns geschrieben. Eine reale Bedingung misst nur das, was ihr Korpus enthält – deshalb veröffentlichen wir das Korpus und den Befehl, damit Ihres uns widersprechen kann.

Vom leichtesten bis zum schwersten, von 4 943 bis 40 199 Dateien je nach System, spielt jeder Nachweis dieselbe Kette erneut ab, und jedes Mal kehrt die Datei genau zu dem zurück, was der Hersteller ausliefert. Kein anderes Werkzeug stellt auf so vielen Systemen wieder her, und keines beweist es.

19

benannte Familien

WSO, c99, China Chopper, WP-VCD, AnonymousFox… benannt, NACHDEM sie ohne diese Namen gefunden wurden

25

Verhaltenssignaturen

jede beschreibt ein Verhalten, nie eine Datei — mit Schweregrad, Muster und Wirkung

1 535

automatische Prüfungen

die vollständige Prüfreihe der Analyse — grün und vor jeder Veröffentlichung automatisch neu gezählt