Backdoor eingeschleust: Supply-Chain-Angriff gefährdet Millionen von Websites
Sicherheitsforscher von Sansec warnen vor einem Supply-Chain-Angriff auf unzählige Wordpress-basierte Webseiten. Laut Blogbeitrag der Forscher(öffnet im neuen Fenster) konnte ein Angreifer Schadcode in teils sehr populäre Plug-ins des Herstellers Awesome Motive einschleusen. Ziel des Angreifers ist es, Admin-Zugangsdaten abzugreifen und auf den Systemen der Plug-in-Nutzer eine Backdoor zu platzieren.
Als betroffene Plug-ins nennen die Forscher Optinmonster(öffnet im neuen Fenster), Trustpulse(öffnet im neuen Fenster) und Pushengage(öffnet im neuen Fenster). Zusammen sollen diese auf über 1,2 Millionen aktive Installationen kommen, wobei der überwiegende Großteil davon allein auf das E-Mail-Marketingtool Optinmonster entfällt.
Awesome Motive entwickelt auch noch andere weitverbreitete Wordpress-Plug-ins wie WPForms(öffnet im neuen Fenster) (über 5 Millionen Installationen), Monsterinsights(öffnet im neuen Fenster) (über 2 Millionen Installationen) und All in One SEO(öffnet im neuen Fenster) (über 3 Millionen Installationen). Bei diesen konnte bisher wohl keine Kompromittierung festgestellt werden. Die Sansec-Forscher mahnen aber dennoch zur Vorsicht.
Malware richtet Backdoor ein
Der Schadcode wird den Angaben zufolge in Form von Javascript-Dateien über verschiedene CDN-Endpunkte von Awesome Motive nachgeladen. Aktiv wird die Malware wohl erst, wenn sie eine Anmeldung mit einem Admin-Konto erkennt. Daraufhin richtet die Schadsoftware dem Angreifer heimlich einen eigenen Admin-Account ein und installiert ein Plug-in, welches als Backdoor fungiert.
Das besagte Backdoor-Plug-in ist allerdings versteckt. Nach Angaben der Forscher taucht es in keiner Plug-in-Liste auf, so dass der Angriff auf den ersten Blick nicht auffällt. Überdies ist es als nützliches Tool getarnt und gibt sich beispielsweise als "Content Delivery Helper" oder "Database Optimizer" aus.
War der Angriff erfolgreich, so übermittelt die Malware die Zugangsdaten des neuen Admin-Accounts sowie weitere Informationen über das infiltrierte System laut Sansec in XOR-verschlüsselter und base64-kodierter Form an ein unter der Domain tidio.cc gehostetes System.
Plug-ins bereinigt, Ursache unklar
Die Sansec-Forscher haben ihre Entdeckungen nach eigenen Angaben an Awesome Motive gemeldet, bisher aber keine Antwort erhalten. Die betroffenen Plug-ins sollen jedoch mittlerweile bereinigt worden sein. Wie der Schadcode genau eingeschleust werden konnte, ist aber wohl noch unklar. Die Forscher gehen davon aus, dass die Server oder der Bunnynet-CDN-Account des Entwicklers kompromittiert wurden.
Wer Optinmonster, Trustpulse oder Pushengage im Einsatz hat und sein System auf verdächtige Aktivitäten untersuchen will, findet im Blogbeitrag von Sansec(öffnet im neuen Fenster) einige Kompromittierungsindikatoren. Ein erfolgreicher Angriff fällt demnach unter anderem durch den unerwartet angelegten Account developer_api1 (customer1usx@gmail.com) oder solche nach dem Namensschema dev_xxxxxx (dev_xxxxxx@gmail.com) auf.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.