Fast 2.000 kompromittierte WordPress-Websites wurden als kriminelle Infrastruktur umfunktioniert, um Malware zu verbreiten, Daten zu stehlen, Opfer zu überwachen und Ransomware einzusetzen, wie das Cybersicherheitsunternehmen Check Point Research mitteilte, das die Ergebnisse in einem am Dienstag veröffentlichten Bericht darlegte.

Forscher identifizierten die Ransomware-Familie StopAndProtect erstmals Mitte Mai, bevor sie sie zu einem deutlich umfangreicheren Angriff zurückverfolgten. Die entführten Websites erfüllten mehrere Funktionen: Sie beherbergten Malware-Payloads, übermittelten Befehle an infizierte Computer und speicherten gestohlene Dokumente, Screenshots und Aktivitätsprotokolle. Kompromittierte seriöse Websites sind als kriminelle Infrastruktur gerade deshalb begehrt, weil sie vertrauenswürdig wirken – Verbindungen zu einer etablierten Domain werden seltener blockiert als Datenverkehr zu einem bekannten bösartigen Server – und die enorme Verbreitung von WordPress macht die Plattform zu einem wiederkehrenden Schauplatz solcher Angriffe, da sie nach den laufenden Webtechnologie-Erhebungen von W3Techs mehr als 40 Prozent aller Websites antreibt.

„Der Angriff verlässt sich nicht auf ein einzelnes Stück Malware, sondern auf ein ganzes Set krimineller Software, die zusammenarbeitet“, schrieb Check-Point-Forscher Jaromír Horejsi. „Manche Komponenten verschlüsseln Dateien, andere stehlen still Dokumente oder sperren den Bildschirm, und eine weitere fungiert als Live-Chat zwischen den Angreifern und ihren Opfern.“

Laut Check Point richtet sich die Malware an Windows-Nutzer und beginnt mit einem gefälschten CAPTCHA auf einer kompromittierten Website. Die ClickFix-Aufforderung weist die Opfer an, einen PowerShell-Befehl auszuführen, der eine Malware installiert, die Zugangsdaten und Seed-Phrasen von Kryptowährungs-Wallets stehlen, sich über Netzwerke und USB-Laufwerke verbreiten, Bildschirme sperren und Ransomware einschleusen kann. Der Bericht machte keine Angaben dazu, ob macOS- und Linux-Nutzer betroffen sind.

Die Angriffskette setzt auf Werkzeuge, die die Opfer bereits besitzen. Da die Nutzer den PowerShell-Befehl selbst einfügen und ausführen, kann der Angriff Browser-Schutzmechanismen umgehen, die ein herkömmliches Drive-by-Download abfangen würden – und PowerShell, ein standardmäßig im Betriebssystem vorinstalliertes Windows-Verwaltungswerkzeug, gehört seit langem zu den am häufigsten missbrauchten Tools bei realen Angriffen.

Die Fehler der Angreifer selbst verschafften den Check-Point-Forschern jedoch einen ungewöhnlich tiefen Einblick in die Operation, wie das Unternehmen mitteilte.

„Versäumnisse bei der operationellen Sicherheit (OPSEC) des Entwicklers legten zahlreiche Dateien offen, darunter detaillierte Infektionsprotokolle von den Rechnern der Opfer, Screenshots von infizierten Computern und den Quellcode von Tools, mit denen die Kriminellen kompromittierte Websites massenhaft verwalten“, schrieb Horejsi.

Bis zum 24. Juli hatte die Kampagne mehr als 6.000 eindeutige IP-Adressen kompromittiert, darunter 1.852 in den Vereinigten Staaten sowie jeweils 630 in Russland und Indien. Die offengelegten Verzeichnisse enthielten Infektionsprotokolle und Screenshots von den Computern der Opfer. Zwischen Mitte Mai und Ende Juli sammelten die Forscher nach eigenen Angaben mehr als 31.000 Screenshots sowie über 700 Archive mit gestohlenen Daten, darunter Dokumente, Passwörter und Kryptowährungs-Wallet-Dateien.

Check Point geht davon aus, dass sich der Bedrohungsakteur auch versehentlich selbst mit seiner eigenen Malware infiziert hat.

„Wir haben einige Hundert Dateien gesammelt, die von den Rechnern der Opfer exfiltriert wurden, und wir gehen davon aus, dass sich der Bedrohungsakteur in einem Fall selbst infiziert hat, da ein Archiv mehrere ungewöhnliche Dateien mit verdächtigem Inhalt enthielt“, schrieb Horejsi. „Das hilft uns auch, besser zu verstehen, wie der Akteur vorgeht und wie viele kompromittierte Domains er wahrscheinlich kontrolliert.“

ClickFix-Betrügereien sind in diesem Jahr bereits in mehreren anderen Malware-Kampagnen aufgetaucht. Im Mai wurde eine Website für Bekleidung, die mit FBI-Direktor Kash Patel in Verbindung steht, offline genommen, nachdem macOS-Besucher Berichten zufolge mit ClickFix-Malware ins Visier genommen worden waren. Nutzer wurden aufgefordert, einen Befehl in das Terminal einzufügen, der einen Infostealer installierte, der Browserdaten, Sitzungstokens und Krypto-Wallets ins Visier nehmen kann.

Im Juli entdeckte Jamf Threat Labs ClickFix-artige Malware, die über eine gesponserte Anzeige auf X verbreitet wurde. Die Anzeige leitete Nutzer auf eine Website, die sie aufforderte, das Terminal zu öffnen und einen Befehl auszuführen, der eine Variante des Atomic-Infostealers installierte.

Im August warnten Microsoft-Forscher, dass Hacker kompromittierte Websites und BNB-Chain-Smart-Contracts nutzen, um über gefälschte CAPTCHAs Malware zu verbreiten.

Bei all diesen Kampagnen ist die praktische Verteidigung dieselbe und erfordert kein technisches Wissen: Eine echte CAPTCHA-Verifizierung verlangt Nutzern niemals, ein Terminal zu öffnen oder einen Befehl auszuführen. Check Points Ergebnisse verweisen auch auf die andere Seite des Problems – für die Betreiber der Millionen von WordPress-Websites ist eine entführte Seite nicht nur ein Eingriff in ihr eigenes Eigentum, sondern ein Stück Infrastruktur, das gegen ihre Besucher und das übrige Internet gewendet wurde.