StopAndProtect-Kampagne: Cyberkriminelle durch eigenen Fehler enttarnt
Sicherheitsforscher von Check Point Research haben die Cyberkampagne „StopAndProtect“ untersucht und dabei einen ungewöhnlich tiefen Einblick in die Infrastruktur der Angreifer erhalten. Möglich wurde dies durch einen schwerwiegenden Fehler bei der Absicherung ihrer Systeme. Öffentlich zugängliche Verzeichnisse enthielten unter anderem Malware-Protokolle, Screenshots von Opfern, gestohlene Dateien, interne Werkzeuge und Entwicklungsdaten.
Die Kampagne hat bereits ein erhebliches Ausmaß erreicht: Mehr als 5.000 Computer weltweit wurden infiziert. Für die Verbreitung und Steuerung der Schadsoftware missbrauchten die Täter außerdem fast 2.000 kompromittierte WordPress-Websites. Statt eigener Command-and-Control-Server nutzten sie damit legitime Webseiten, um Schadsoftware bereitzustellen, infizierte Geräte zu steuern und gestohlene Daten zu speichern. Dadurch konnten die kriminellen Aktivitäten besser im normalen Internetverkehr verborgen werden. Begünstigt wird diese Strategie durch veraltete und schlecht gepflegte WordPress-Systeme. Bei einer untersuchten Webseite lief beispielsweise eine Version aus dem Jahr 2021 mit zahlreichen bekannten, ungepatchten Sicherheitslücken.
Besonders ungewöhnlich war die Entdeckung interner Entwicklungsdateien auf der Datensammel-Infrastruktur. Die Forscher gehen deshalb davon aus, dass sich einer der Betreiber versehentlich selbst mit der eigenen Schadsoftware infizierte. Dadurch wurden interne Daten auf den Server übertragen und für die Sicherheitsforscher sichtbar. Obwohl die Dateien nach wenigen Tagen entfernt wurden, konnten sie wichtige Erkenntnisse über Aufbau und Arbeitsweise der kriminellen Gruppe gewinnen.
Für die Infektion setzen die Angreifer vor allem auf Social Engineering. Über gefälschte CAPTCHA-Abfragen werden Nutzer dazu gebracht, bestimmte Befehle zu kopieren, einzufügen und auszuführen. Diese sogenannte „ClickFix“-Methode vermittelt den Eindruck einer normalen Sicherheitsprüfung, führt tatsächlich aber dazu, dass Schadsoftware auf dem Gerät gestartet und von kompromittierten WordPress-Seiten nachgeladen wird. Je nach Ziel kann die Malware Passwörter und Dokumente stehlen, Daten abziehen oder spätere Ransomware-Angriffe vorbereiten.
Check Point Research empfiehlt deshalb besondere Vorsicht bei ungewöhnlichen CAPTCHA-Anweisungen. Nutzer sollten niemals Befehle aus Webseiten kopieren und außerhalb des Browsers ausführen. Unternehmen sollten außerdem WordPress-Systeme und Plugins regelmäßig aktualisieren, Mitarbeiter über moderne Social-Engineering-Methoden schulen und verdächtige Aktivitäten, insbesondere ungewöhnliche PowerShell-Nutzung, überwachen. Ein präventiver Sicherheitsansatz soll verhindern, dass Schadsoftware überhaupt dauerhaft in Netzwerken Fuß fasst.
Die Kampagne zeigt deutlich, wie Cyberkriminelle menschliche Manipulation mit kompromittierter, vertrauenswürdiger Web-Infrastruktur kombinieren können. Gleichzeitig verdeutlicht der Fall, dass selbst professionelle Angreifer durch Fehler bei der Absicherung ihrer eigenen Systeme wertvolle Hinweise auf ihre Aktivitäten preisgeben können.
