Was ist passiert?
Angreifer haben vertrauenswürdige JavaScript-Dateien manipuliert, die von WordPress-Seiten mit den Plugins PushEngage, OptinMonster und TrustPulse genutzt werden. Die kompromittierten Skripte wurden zur Einfallspforte für Cyberattacken. Sobald ein Administrator mit entsprechenden Rechten die manipulierte Datei lud, erstellte der Schadcode automatisch ein Admin-Konto unter der Kontrolle der Angreifer und installierte ein verstecktes Plugin als Hintertür für zukünftige Zugriffe.
Hintergrund & Bedeutung
Dieser Angriff zeigt eine kritische Sicherheitslücke in der Supply-Chain-Sicherheit. Die Malware wurde gezielt so konzipiert, dass sie nur dann aktiviert wird, wenn ein Administrator mit höchsten Berechtigungen die Seite besucht – normale Besucher werden nicht angegriffen. Dies macht die Erkennung besonders schwierig. Solche gerichteten Angriffe auf JavaScript-Dateien beliebter Plugins gefährden tausende Websites gleichzeitig, da die Angreifer durch eine einzige Kompromittierung Zugriff auf mehrere Ziele erhalten.
Empfehlungen für IT-Teams
- Aktualisieren Sie die betroffenen Plugins PushEngage, OptinMonster und TrustPulse sofort auf die neuesten Versionen
- Überprüfen Sie Benutzerkonten auf verdächtige Admin-Accounts, die Sie nicht erstellt haben
- Prüfen Sie die Liste installierter Plugins auf unbekannte oder verdächtige Einträge
- Aktivieren Sie Sicherheits-Plugins mit Integritätsprüfung und Datei-Monitoring
- Implementieren Sie Web Application Firewalls (WAF) zur Früherkennung verdächtiger Aktivitäten
- Führen Sie regelmäßige Sicherheits-Audits durch
Fazit
Dieser Vorfall unterstreicht die Notwendigkeit einer wachsamen Supply-Chain-Sicherheit. WordPress-Betreiber sollten ihre Systeme sofort überprüfen und Updates einspielen, um weitere Kompromittierungen zu verhindern.
Quelle: Original Artikel