Websicherheit: Malware auf jQuery-Server entdeckt

Eine Sicherheitsfirma will die Einbindung von Malware-Code auf der Webseite der Javascript-Bibliothek jQuery beobachtet haben. Ob die Server von jQuery gehackt worden sind, ist noch unklar.

Artikel veröffentlicht am , Hanno Böck
Die jQuery-Bibliothek ist durch ihre Beliebtheit ein attraktives Ziel für Angreifer.
Die jQuery-Bibliothek ist durch ihre Beliebtheit ein attraktives Ziel für Angreifer. (Bild: jQuery)

Die IT-Sicherheitsfirma RiskIQ berichtet in einem Blogeintrag, dass sie die Auslieferung von Malware über die Webseite der Javascript-Bibliothek jQuery beobachtet habe. Demnach wurde auf der Webseite zeitweise ein bösartiger iFrame eingefügt. Der darin enthaltene Code versuchte, auf dem Server von Webseitenbesuchern eine Malware zu installieren.

Bösartiger iFrame

Stellenmarkt
  1. IT System Engineer (m/w/d) als IT Inhouse Consultant
    ODU GmbH & Co. KG. Otto Dunkel GmbH, Mühldorf am Inn
  2. IT-Systembetreuer (m/w/d)
    Versicherungskammer Bayern Versicherungsanstalt des öffentlichen Rechts, München Obergiesing-Fasangarten
Detailsuche

Die Bibliothek jQuery ist freie Software und eine der meist genutzten Javascript-Bibliotheken. Laut eigenen Angaben wird jQuery von fast einem Drittel der Webseiten im Netz genutzt.

RiskIQ hat laut eigenen Angaben beobachtet, dass über jQuery-Webseite ein iFrame eingefügt wurde, der auf die Domain jquery-cdn.com verweist. Von dort wurde ein Exploit-Code nachgeladen, der versuchte, die Malware RIG zu installieren. Der Server hinter der Domain jquery-cdn.com ist inzwischen nicht mehr erreichbar.

Mehrere Angriffsvektoren

Die Entwickler von jQuery schreiben in ihrem Blog, dass sie keinerlei Hinweise auf eine Kompromittierung ihrer Server haben. Trotzdem versuche man derzeit, die Ursachen für die Vorfälle zu finden.

Golem Akademie
  1. C++ Programmierung Basics: virtueller Fünf-Tage-Workshop
    28. Februar–4. März 2022, virtuell
  2. Kotlin für Java-Entwickler: virtueller Zwei-Tage-Workshop
    03.–04. Februar 2022, Virtuell
Weitere IT-Trainings

Es sind grundsätzlich zwei Wege denkbar, wie der iFrame in die Webseite gelangt sein könnte. Eine Variante wäre, dass tatsächlich der Server von jQuery kompromittiert wurde und jquery.com den bösartigen iFrame ausgeliefert hat. Auch denkbar wäre allerdings, dass mittels einer Man-in-the-Middle-Attacke der entsprechende Code unterwegs in die Datenpakete eingefügt wurde.

HTTPS und Content Security Policy erhöhen Sicherheit

Generell gibt es mehrere Möglichkeiten, derartige Drive-by-Downloads zu erschweren oder zu verhindern. Sollte es sich um eine Man-in-the-Middle-Attacke handeln, hätte der Einsatz von verschlüsselten HTTPS-Verbindungen den Angriff vermutlich gestoppt. Das ist einer der Gründe, warum es sich auch für Webseiten ohne sensible Daten, die nur gelesen werden, lohnen kann, mittels HTTPS die Sicherheit zu erhöhen.

Die Einbindung von Code von anderen Servern mittels iFrames könnte durch den Einsatz von Content Security Policy gestoppt werden.

Für Nutzer gilt, dass sie Sicherheitsupdates für den Browser und für Browserplugins wie Flash zeitnah installieren sollten. Denn Sicherheitslücken im Browser sind das größte Einfallstor für Malware.

Nachtrag vom 24. September 2014, 16:15 Uhr

Ursprünglich hatten wir geschrieben dass die Malware über die auf jquery.com gehostete JavaScript-Datei, die von anderen Webseiten eingebunden werden kann, ausgeliefert wurde. Das ist nicht korrekt, es handelte sich nur um die Webseite von jQuery, Webseiten von Dritten, die jQuery nutzen, sind nicht betroffen.

Nachtrag vom 25. September 2014, 11:05 Uhr

Wie auf dem Blog von jQuery zu lesen ist, gab es offenbar gestern einen zweiten Fall, bei dem die Webseite manipuliert wurde. Die jQuery-Entwickler gehen davon aus, dass es sich um einen davon unabhängigen Vorfall handelt, aber vermutlich wurde die selbe Sicherheitslücke genutzt. Wie genau die Seite manipuliert wurde ist weiterhin unklar.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Raumfahrt
SpaceX-Rakete stürzt voraussichtlich im März auf den Mond

Ob sich Elon Musk so die erste Ankunft einer SpaceX-Rakete auf dem Mond vorgestellt hat?

Raumfahrt: SpaceX-Rakete stürzt voraussichtlich im März auf den Mond
Artikel
  1. G413 SE, G413 TKL SE: Logitech bringt zwei mechanische Tastaturen für weniger Geld
    G413 SE, G413 TKL SE
    Logitech bringt zwei mechanische Tastaturen für weniger Geld

    Normalerweise sind mechanische Tastaturen von Logitech sehr teuer - nicht so die G413 SE und TKL SE. Die verzichten dafür auf RGB.

  2. Deutschland: E-Commerce wird immer mehr zum Normalfall
    Deutschland
    E-Commerce wird immer mehr zum Normalfall

    E-Commerce wird immer mehr als das Normale und Übliche empfunden, meint der Bundesverband E-Commerce und Versandhandel.

  3. Letzte Meile: Telekom will Preise für VDSL-Vermietung stark erhöhen
    Letzte Meile
    Telekom will Preise für VDSL-Vermietung stark erhöhen

    Die Telekom will von 1&1, Vodafone und Telefónica künftig erheblich mehr für die Anmietung der letzten Meile.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • RTX 3090 24GB 2.349€ • RTX 3070 Ti 8GB 1.039€ • 1TB SSD PCIe 4.0 127,67€ • RX 6900XT 16 GB 1.495€ • Razer Gaming-Tastatur 155€ • LG OLED 65 Zoll 1.599€ • Razer Gaming-Maus 39,99€ • RX 6800XT 16GB 1.229€ • GOG New Year Sale: bis zu 90% Rabatt • Razer Gaming-Stuhl 179,99€ [Werbung]
    •  /