Perfekter Hack: Wenn 100.000 Webseiten plötzlich Malware liefern

Schwachstellen in weit verbreiteten Diensten können schnell eine Flut von Sicherheitsproblemen auslösen. Das zeigte sich auch in einem aktuellen Fall, in dem um die hunderttausend Webseiten plötzlich Malware an Nutzer auslieferten.

Ein Fuß in der Infrastruktur

Ursache dessen war nach Angaben des Sicherheitsunternehmens Sansec ein Angriff auf die Marketing-Plattform Brevo, die in zahlreiche Webseiten eingebunden ist. Sie stellt unter anderem Newsletter-, Marketing- und Formularfunktionen bereit und wird laut des Herstellers von mehr als 100.000 Websites genutzt. Öffentliche Scans finden rund 117.000 Webseiten, die auf Brevo-Infrastruktur mit den zugehörigen Domains brevo.com, sibforms.com oder sibautomation.com verweisen. Zu den genannten Kunden gehören unter anderem eBay, Louis Vuitton, Michelin und Amnesty International.

Nach einer Analyse des Sicherheitsunternehmens Sansec schleusten die Angreifer ein manipuliertes Skript in zwei JavaScript-Dateien ein, die von Brevos Kunden in ihre Websites eingebunden werden. Darüber konnten sie Besucher mit einer gefälschten CAPTCHA-Abfrage konfrontieren. Die ClickFix-Masche forderte dazu auf, bestimmte Tastenkombinationen zu verwenden und anschließend einen kopierten Befehl über das Windows-Dialogfeld "Ausführen" zu starten. Wer der Aufforderung folgte, lud sich Schadsoftware auf den Rechner.


Bei eingeloggten WordPress-Administratoren ging der Angriff noch weiter. Das Skript versuchte, unbemerkt ein Plugin zu installieren. Dieses hätte den Angreifern möglicherweise eine dauerhafte Hintertür auf der jeweiligen Website verschafft. Sansec warnt deshalb, dass auch nach der Behebung des Problems bei Brevo bereits kompromittierte WordPress-Seiten betroffen bleiben können.

Brevo zufolge konnten die Angreifer einen kompromittierten Cloudflare-API-Schlüssel nutzen, um den Angriff zu starten. Dieser veränderte den ausgelieferten Inhalt durch das Distributions-Netzwerk und schleuste für rund fünfeinhalb Stunden ein Schadskript in Seiten von brevo.com und sibforms.com sowie in drei von Kunden eingebundene JavaScript-Dateien ein. Die eigentlichen Quelldateien der Brevo-Systeme seien dabei nicht verändert worden.

Die letzten Tage überdenken

Der Vorfall folgt auf eine weitere Sicherheitslücke bei Brevo. Am 10. September hatte das Unternehmen mitgeteilt, dass Angreifer über einen Fehler bei der Verarbeitung von SAML-SSO auf 138 Konten zugreifen konnten. Sechs Konten wurden anschließend für Phishing-Mails missbraucht, aus 43 Konten wurden Kontakte exportiert.

Brevo empfiehlt Nutzern, die in den letzten Tagen verdächtige Befehle ausgeführt haben, den betroffenen Rechner vom Netz zu trennen, einen vollständigen Virenscan durchzuführen und eingesetzte Passwörter zu ändern. Betreiber betroffener WordPress-Seiten sollten zudem nach kürzlich installierten oder aktivierten Plugins suchen, diese entfernen, Administrator-Passwörter ändern und API-Schlüssel überprüfen.


Siehe auch: