Cyberkriminelle haben aufgehört, eigene Befehlsserver zu kaufen, und sind zu einer günstigeren und unauffälligeren Infrastruktur übergegangen: Sie übernehmen verlassene Web-Ressourcen mit alten Versionen von Content-Management-Systemen und veralteten Plugins. Dies berichtet RBC-Ukraine unter Berufung auf einen Bericht von Cybersecurity-Experten der Check Point Research. Laut den Forschern wurden auf einzelnen infizierten Ressourcen bis zu 40 ungepatchte Schwachstellen festgestellt, was solche Websites zu einer idealen stillen Brückenkopf-Position für Angriffe machte.
So funktioniert das Angriffsverfahren
Die Angreifer fügten den übernommenen Websites schädlichen Code hinzu, der Besuchern ein gefälschtes CAPTCHA-Fenster über die bekannte Social-Engineering-Methode ClickFix anzeigte. Der Nutzer wurde davon überzeugt, dass er kein Roboter sei, und aufgefordert, eine Befehlszeile in der PowerShell-Konsole zu kopieren und auszuführen, um dies zu bestätigen. Genau dieser Schritt löste die Kette des Downloads von Schadsoftware auf dem Computer des Opfers aus und umging dabei Teile der Standard-Schutzmechanismen.
Was auf die Computer der Opfer geladen wurde
Nach Ausführung des Befehls wurde auf dem PC eine ganze Reihe von Viren installiert: vom Ransomware-Schadprogramm SilentEncryptor und Netzwerk-Würmern bis hin zum Spyware-Modul SilentDataCollector. Die kompromittierten WordPress-Websites wurden dabei mehrfach genutzt – zur Speicherung gestohlener Daten, zum Ablegen von Logs und als Befehlsserver, die das Botnet steuern.
Wie die Ermittlung möglich wurde
Laut Bericht wurde die Aufdeckung des Botnets durch grobe operative Fehler (OPSEC) der Betreiber der Infrastruktur ermöglicht. So infizierte einer der Operatoren der Hackergruppe versehentlich seinen eigenen Arbeitscomputer mit dem Spyware-Modul. Infolgedessen sammelte der Virus automatisch Daten und lud sie auf den Server der Entwickler hoch, einschließlich Informationen über andere Opfer, was den Forschern den Schlüssel zur Aufdeckung des gesamten Schemas lieferte.
Warum WordPress das Hauptziel ist
Die Plattform WordPress belegt rund 43 Prozent des gesamten weltweiten Website-Marktes, was sie zu einem prioritären Ziel für derartige Angriffe macht. Ein erheblicher Teil der Ressourcen wird mit der Zeit von seinen Betreibern verlassen, bleibt aber im Netz mit alten Versionen des Kernels und der Plugins, die keine Sicherheitsupdates mehr erhalten.
Empfehlungen für Website-Betreiber und Nutzer
Website-Betreibern raten die Experten, den WordPress-Kernel sowie alle installierten Plugins und Themes sofort zu aktualisieren oder diejenigen zu entfernen, die von den Entwicklern nicht mehr unterstützt werden. Für normale Nutzer ist es wichtig, sich eine einfache Regel zu merken: Keine CAPTCHA-Prüfung verlangt je, Befehle zu kopieren und in der Windows- oder PowerShell-Konsole auszuführen. Von solchen Websites sollte man sofort gehen und die vorgeschlagenen Aktionen nicht ausführen.
