Hinweis: Dieser Beitrag enthält Affiliate-Links (mit * gekennzeichnet). Kaufst du über einen dieser Links, erhalte ich eine kleine Provision — für dich ändert sich der Preis nicht.
Die üblichen Gegenmaßnahmen gegen Schadsoftware setzen an einem Punkt an: Man findet den Server, auf dem der Schadcode liegt, und schaltet ihn ab. Genau dieser Punkt fehlt bei der Kampagne, die Forscher gerade beschreiben — und deshalb ist sie so zäh.
Mehr als 5.400 gekaperte Webseiten wurden gezählt, überwiegend WordPress- und PrestaShop-Installationen. Es sind keine großen Ziele: Arztpraxen, Handwerksbetriebe, kleine Onlineshops. Jede dieser Seiten wurde mit einem Skript versehen, das die nächste Stufe des Angriffs nachlädt.
DER TRICK: Der Schadcode liegt in der Blockchain
Nachgeladen wird nicht von einem Server, sondern aus einem Smart Contract auf der BNB Smart Chain — genauer aus deren Testnetz. Die Technik hat einen Namen: EtherHiding.
Der Reiz für die Angreifer liegt auf der Hand. Ein Eintrag in einer Blockchain wird auf tausenden Rechnern gespiegelt. Es gibt keinen Hoster, den man anschreiben kann, keine Domain, die man sperrt, keinen Server, den man beschlagnahmt. Und weil das Testnetz genutzt wird, kostet das Ganze die Täter nichts. Kostenlose Entwickler-Infrastruktur wird zum unkaputtbaren Lager für Schadcode.
WAS DER BESUCHER SIEHT
Für den Menschen vor dem Bildschirm sieht es harmlos aus: ein gefälschtes CAPTCHA. „Bestätigen Sie, dass Sie kein Roboter sind.“ Wer der Anleitung folgt, kopiert einen vorbereiteten Befehl und fügt ihn selbst in ein Systemfenster ein — und installiert damit eigenhändig einen Passwortdieb auf seinem Windows-Rechner.
Diese Masche läuft unter dem Namen ClickFix. Microsoft warnt, dass ein erfolgreicher Angriff Zugangsdaten offenlegt und in der Folge zu Verschlüsselungstrojanern führen kann. Die Kampagne trifft nach Angaben der Forscher täglich tausende Geräte weltweit.
DIE UNBEQUEME NACHRICHT für Seitenbetreiber
Der entscheidende Perspektivwechsel: Bei dieser Kampagne bist du womöglich nicht das Opfer, sondern die Waffe. 5.400 Betreiber liefern gerade Schadcode an ihre eigenen Besucher aus, und die allermeisten wissen es nicht.
Was du auf deiner Seite prüfen solltest:
- Fremde Skripte im Quelltext. Ruf deine Startseite auf, schau in den HTML-Quelltext und suche nach
<script>-Blöcken, die du nicht selbst eingebaut hast — besonders solche mit langen, unleserlichen Zeichenketten. - Geänderte Kerndateien. Bei WordPress verrät ein Abgleich der Dateien mit der Originalversion sofort, wo jemand etwas eingefügt hat. Header, Footer und aktive Themes sind die üblichen Verstecke.
- Unbekannte Administratorkonten. Ein Blick in die Nutzerliste dauert dreißig Sekunden.
- Ausgehende Verbindungen zu Blockchain-Endpunkten. Ein Skript auf einer Arztpraxis-Seite, das mit einer Blockchain spricht, hat dort nichts verloren.
WIE DU DEN EINSTIEG ZUMACHST
Fast alle diese Seiten wurden über den gewöhnlichen Weg übernommen: veraltete Plugins oder ein erbeutetes Admin-Passwort. Das Gegenmittel ist unspektakulär, aber wirksam — Updates zeitnah einspielen, ungenutzte Plugins löschen und den Admin-Login mit einem zweiten Faktor absichern. Wer keine Codes mehr aus einer App abtippen will, nimmt dafür einen Hardware-Schlüssel wie den YubiKey 5 NFC*, der sich per USB oder NFC anstecken lässt und auch dann nicht mitspielt, wenn du auf einer nachgebauten Login-Seite landest.
UND WENN DU NUR SURFST?
Dann merk dir eine einzige Regel, die diese ganze Angriffsklasse aushebelt: Kein echtes CAPTCHA der Welt verlangt jemals, dass du einen Befehl kopierst und in ein Systemfenster einfügst. Wer das verlangt, will dich nicht prüfen — er will, dass du seine Arbeit erledigst.