Thought Leadership
Ein fataler Entwicklerfehler entlarvte ein globales Hacker-Netzwerk aus 2.000 WordPress-Seiten und 5.000 infizierten PCs.
Sicherheitsforscher von Check Point Research (CPR) erhielten einen detaillierten Einblick in die global agierende Cyber-Kampagne „StopAndProtect“. Grund dafür war ein gravierender Fehler der Angreifer (OPSEC-Fail): Einer der Betreiber infizierte offenbar versehentlich seinen eigenen Entwickler-PC.
Dadurch wurden interne Entwicklungsdateien, Quellcodes von Verwaltungstools, Logfiles und Screenshots von Opfern ungeschützt auf den zentralen Datensammel-Server hochgeladen. Die Analyse der freiliegenden Verzeichnisse offenbarte das Ausmaß der Kampagne: Das Netzwerk umfasste bereits mehr als 5.000 infizierte Zielrechner und fast 2.000 gehackte WordPress-Websites.
Gehackte WordPress-Seiten als getarnte Befehlsserver
Anstatt eigene Befehls- und Kontrollserver (Command-and-Control) aufzubauen, missbrauchten die Täter reguläre WordPress-Websites. Diese wurden genutzt, um Schadsoftware bereitzustellen, Befehle an Opfer-Rechner zu senden und gestohlene Daten abzusaugen. Durch die Nutzung vertrauenswürdiger Domains getarnt, blieb der bösartige Datenverkehr lange unentdeckt.
Hauptursache für die Anfälligkeit der Seiten war mangelnde Systempflege. So stießen die Forscher unter anderem auf eine gehackte Website mit einem WordPress-Stand aus dem Jahr 2021, der fast 40 ungepatchte Sicherheitslücken aufwies.
Die Falle: Gefälschte CAPTCHAs via „ClickFix“
Die Erstinfektion erfolgt nicht über komplexe Exploits, sondern über Social Engineering. Opfer werden auf manipulierten Seiten mit gefälschten CAPTCHA-Abfragen konfrontiert. Nach der sogenannten „ClickFix“-Methode werden Nutzer dazu angewiesen, vermeintliche Prüfcodes zu kopieren und manuell in die Konsole (z. B. PowerShell) ihres Betriebssystems einzufügen.
Sobald der Befehl ausgeführt wird, lädt das System automatisch Schadcode von den kompromittierten WordPress-Servern nach. Die Malware ist modular aufgebaut und dient dem Diebstahl von Zugangsdaten, sensiblen Dokumenten oder der Vorbereitung von Ransomware-Erpressungen.
Schutzmaßnahmen für Unternehmen und Nutzer
Sicherheitsexperten raten zu folgenden Präventionsschritten:
- Misstrauen bei CAPTCHAs: Legitime CAPTCHA-Prüfungen fordern Anwender niemals dazu auf, Befehle zu kopieren und außerhalb des Browsers auszuführen.
- WordPress-Systeme aktualisieren: Betreiber müssen Core-Installationen und Plugins konsequent patchen, um Lücken zu schließen.
- PowerShell-Monitoring: Unternehmen sollten verdächtige Skript- und PowerShell-Ausführungen auf Endgeräten überwachen.
(Check Point Research/red)
