StopAndProtect Kampagne: Eigener Fehler enttarnt globale Malware-Infrastruktur

Ein seltener OPSEC-Fehler hat Sicherheitsforschern einen ungewöhnlich tiefen Blick hinter die Kulissen einer weltweit operierenden Cybercrime-Kampagne ermöglicht. Die als „StopAndProtect“ bezeichnete Infrastruktur soll mehr als 5.000 infizierte Rechner und nahezu 2.000 kompromittierte WordPress-Websites umfassen. Besonders brisant: Offenbar infizierte sich einer der Betreiber versehentlich selbst – und lieferte den Forschern damit interne Entwicklungsdaten direkt auf den eigenen Sammelserver.

Check Point Research (CPR) hat eine Cyberkampagne analysiert, bei der die Angreifer kompromittierte WordPress-Websites als verteilte Infrastruktur für Malware-Verbreitung, Kommunikation und Datendiebstahl einsetzen. Der entscheidende Durchbruch gelang den Forschern jedoch nicht durch einen aufwendigen technischen Angriff auf die Täter, sondern durch deren eigene Fehler bei der Absicherung ihrer Systeme.

Öffentlich erreichbare Verzeichnisse legten unter anderem Malware-Protokolle, Screenshots infizierter Systeme, gestohlene Dateien sowie interne Verwaltungswerkzeuge offen. Dadurch ließ sich nicht nur das Ausmaß der Kampagne rekonstruieren, sondern auch ein detaillierter Blick auf deren technische Organisation werfen.

Fast 2.000 WordPress-Websites als Angriffsplattform

Statt ausschließlich auf klassische Command-and-Control-Server zu setzen, nutzen die Betreiber von StopAndProtect ein weit verzweigtes Netz kompromittierter WordPress-Websites.

Die gehackten Systeme übernehmen dabei unterschiedliche Funktionen innerhalb der Angriffskette. Sie dienen unter anderem zur Bereitstellung von Schadsoftware, zur Auslieferung weiterer Payloads, zur Kommunikation mit bereits infizierten Geräten und zur Speicherung gestohlener Dokumente, Screenshots und Aktivitätsprotokolle.

Das Vorgehen bietet den Angreifern einen wesentlichen Vorteil: Datenverkehr zu grundsätzlich legitimen Websites fällt in Unternehmensnetzen deutlich weniger auf als die Kommunikation mit bereits bekannten Malware-Domains oder verdächtigen Command-and-Control-Servern.

Gleichzeitig zeigt die Kampagne erneut, welche Folgen mangelnde Patch- und Update-Disziplin bei öffentlich erreichbaren Content-Management-Systemen haben kann. Nach Angaben von Check Point Research fanden die Forscher unter anderem eine kompromittierte Website, auf der eine WordPress-Version aus dem Jahr 2021 mit fast 40 bekannten und ungepatchten Schwachstellen betrieben wurde.

Angreifer infiziert offenbar den eigenen Entwickler-PC

Besonders aufschlussreich war eine weitere Entdeckung. Auf einem von den Angreifern verwendeten Sammelserver fanden die Forscher interne Entwicklungsdateien, die dort eigentlich nicht hätten auftauchen dürfen.

Check Point Research geht deshalb davon aus, dass sich möglicherweise einer der Entwickler oder Betreiber versehentlich selbst mit der eigenen Schadsoftware infiziert hatte. In der Folge könnten Dateien des Entwicklungsrechners automatisch auf die Infrastruktur der Kampagne übertragen worden sein.

Obwohl das entsprechende Archiv nach wenigen Tagen wieder verschwand, erhielten die Sicherheitsforscher dadurch Einblick in Quellcode und Automatisierungswerkzeuge, mit denen die Täter ihr Netzwerk aus rund 2.000 kompromittierten WordPress-Domains verwalteten.

Der Fall zeigt damit auch eine andere Seite der Cyberkriminalität: Professionelle Angriffsinfrastrukturen können technisch hochgradig automatisiert sein – ihre Betreiber bleiben dennoch anfällig für dieselben Fehlkonfigurationen und Bedienfehler, die sie bei ihren Opfern ausnutzen.

ClickFix macht den Nutzer selbst zum Ausführer

Für die Erstinfektion setzt StopAndProtect nicht primär auf komplexe Zero-Day-Exploits. Stattdessen konzentrieren sich die Angreifer auf Social Engineering und die inzwischen weit verbreitete ClickFix-Methode.

Nutzern wird dabei beispielsweise eine vermeintliche CAPTCHA-Prüfung angezeigt. Um die angebliche Sicherheitskontrolle abzuschließen, sollen sie einen vorgegebenen Befehl kopieren, in eine Systemfunktion oder Kommandozeile einfügen und anschließend ausführen.

Genau darin liegt die eigentliche Falle.

Der Anwender startet den Angriff selbst und umgeht damit teilweise klassische Schutzmechanismen, die darauf ausgelegt sind, automatisch ausgeführten Schadcode oder verdächtige Downloads zu erkennen. Anschließend können weitere Komponenten von kompromittierten WordPress-Systemen nachgeladen werden.

Je nach Zielsetzung der Betreiber lässt sich eine solche Infektionskette für Credential Theft, Dokumentendiebstahl, Datenexfiltration oder als Ausgangspunkt für spätere Ransomware-Angriffe verwenden.

Vertrauen wird zur eigentlichen Angriffsfläche

StopAndProtect steht damit exemplarisch für eine Entwicklung, bei der Angreifer technische Infrastruktur und psychologische Manipulation immer enger miteinander verbinden.

Die kompromittierte Website wirkt legitim, das CAPTCHA ist Anwendern vertraut und der eigentliche Schadcode wird erst durch eine bewusste Handlung des Nutzers aktiviert. Genau diese Kombination erschwert die Erkennung.

„StopAndProtect zeigt eindrücklich, wie Angreifer Tausende schlecht gewartete WordPress-Websites in eine hocheffiziente, verteilte kriminelle Infrastruktur für die Verbreitung von Malware, Überwachung, Datendiebstahl und Ransomware verwandeln können“, erklärt Eli Smadja, Head of Research bei Check Point Research.

Unternehmen sollten deshalb nicht nur technische Schutzmaßnahmen betrachten, sondern insbesondere ungewöhnliche Benutzerinteraktionen stärker berücksichtigen.

Eine Website, die Anwender auffordert, Befehle außerhalb des Browsers zu kopieren oder auszuführen, sollte grundsätzlich als hochverdächtig gelten.

Was Unternehmen jetzt beachten sollten

Für Betreiber von WordPress-Systemen bleibt konsequentes Patch-Management eine zentrale Verteidigungslinie. Neben dem WordPress-Core müssen dabei insbesondere Plugins und Themes kontinuierlich aktualisiert und nicht mehr benötigte Erweiterungen entfernt werden.

Security-Teams sollten außerdem ungewöhnliche PowerShell- und Kommandozeilenaktivitäten auf Endgeräten überwachen. Gerade bei ClickFix-Angriffen können solche Prozesse wichtige Indikatoren für eine laufende Infektion liefern.

Ebenso wichtig ist die Sensibilisierung der Mitarbeiter. Klassische Awareness-Schulungen, die sich überwiegend auf Phishing-E-Mails konzentrieren, reichen für Angriffsmethoden wie ClickFix zunehmend nicht mehr aus. Nutzer müssen erkennen können, dass auch scheinbar harmlose Browserdialoge und CAPTCHA-Abfragen Teil einer Angriffskette sein können.

StopAndProtect macht damit gleich zwei grundlegende Sicherheitsprobleme sichtbar: schlecht gepflegte Webinfrastrukturen liefern Cyberkriminellen skalierbare Ressourcen für ihre Angriffe – und Social Engineering verlagert die entscheidende Aktion zunehmend direkt auf den Anwender.