Ein massiver WordPress Supply-Chain-Angriff hat rund 1,2 Millionen Webseiten getroffen. Betroffen sind drei beliebte Plugins des Anbieters Awesome Motive: OptinMonster, TrustPulse und PushEngage. Sicherheitsforscher von Sansec deckten die Kampagne auf. Zum Zeitpunkt der Analyse war sie noch aktiv. Deshalb sollten Betreiber jetzt schnell handeln.
So lief der WordPress Supply-Chain-Angriff ab
Der Angriff setzte nicht direkt bei den Webseiten an. Stattdessen kompromittierten die Täter die Infrastruktur des Herstellers. Konkret nutzten sie eine Schwachstelle im Plugin UpdraftPlus auf einem Marketing-Server von Awesome Motive aus. Anschließend stahlen sie einen API-Schlüssel für das Content Delivery Network (CDN).
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Mit diesem Schlüssel manipulierten die Angreifer JavaScript-Dateien, die das CDN an Millionen Seiten ausliefert. Folglich verteilte sich der Schadcode automatisch über die legitimen Plugin-Updates. Genau das macht einen Supply-Chain-Angriff so gefährlich. Denn der bösartige Code stammt aus einer eigentlich vertrauenswürdigen Quelle.
Heimliche Admin-Konten und getarnte Backdoor
Der eingeschleuste Code arbeitete besonders raffiniert. Zunächst prüfte er, ob gerade ein angemeldeter Administrator die Seite besuchte. Dafür suchte er nach typischen Merkmalen wie dem wordpress_logged_in_-Cookie oder der Admin-Werkzeugleiste. Erst dann wurde er aktiv.
Anschließend griff das Skript Authentifizierungs-Tokens und Nonces ab. Damit legte es heimlich ein neues Administrator-Konto an. Darüber hinaus installierte es ein getarntes Backdoor-Plugin, das sich selbst vor der Plugin-Liste versteckte. Schließlich baute es eine Verbindung zu einem Server auf, der die bekannte Marke Tidio imitierte.
Zeitlicher Ablauf
Die Vorbereitung begann früh. So registrierten die Täter die Steuerdomain bereits Ende April. Der erste bestätigte Schadcode tauchte am 12. Juni in den CDN-Dateien von OptinMonster und TrustPulse auf. Diese beiden waren nach kurzer Zeit wieder bereinigt. PushEngage lieferte den manipulierten Code allerdings noch bis zum 14. Juni aus.
Was Betreiber jetzt tun sollten
Zunächst sollten Administratoren die betroffenen Plugins auf die aktuelle Version aktualisieren. Außerdem ist eine genaue Kontrolle der Benutzerkonten wichtig. Denn unbekannte Administrator-Accounts deuten auf eine erfolgreiche Übernahme hin. Ebenso sollte man die Plugin-Liste auf verdächtige oder versteckte Einträge prüfen.
Darüber hinaus empfiehlt sich das Zurücksetzen von Passwörtern und API-Schlüsseln. Ähnlich kritisch war zuletzt die Lücke in Everest Forms Pro, die ebenfalls zur Anlage von Admin-Konten führte. Kurz gesagt: Der WordPress Supply-Chain-Angriff zeigt, wie verwundbar die Lieferkette von Plugins ist. Wachsamkeit bleibt deshalb Pflicht.
Quellen
- Sansec: OptinMonster supply chain attack hits 1.2 million sites
- BleepingComputer: OptinMonster WordPress plugin hacked in CDN supply-chain attack
- Patchstack: Tampered CDN Scripts Auto-Creating Rogue Admins
- Security-Insider: Supply-Chain-Angriff trifft 1,2 Millionen WordPress-Seiten
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden