![\"Sicherheit](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2021\/04\/Sicherheit_klein.jpg\" "\\"Sicherheit")
Auch Cyberkriminelle machen Fehler, und manchmal profitieren Sicherheitsforscher davon. Ein fataler Fehler der\u00a0 bei der Absicherung des Betriebs durch Cyberkriminelle gew\u00e4hrte Sicherheitsforschern einen tiefen Einblick in eine weitreichende kriminelle Infrastruktur, die mehr als 5.000 infizierte Computer und fast 2.000 kompromittierte WordPress-Websites kontrollierte.<\/p>\n
<\/p>\n
Sicherheitsforscher von Check Point Research (CPR) haben eine ungew\u00f6hnliche Entdeckung bei der Analyse einer neu identifizierten Cyber-Kampagne namens \"StopAndProtect\" gemacht. In diesem Fall erlaubten gravierende Fehler bei der Absicherung des Betriebs ihrer Software einen seltenen und tiefen Einblick in die Infrastruktur der Cyberkriminellen.<\/p>\n
Anstatt auf eigens eingerichtete Befehls- und Kontrollserver (Command-and-Control) zu setzen, bauten die Betreiber von StopAndProtect eine hochgradig verteilte kriminelle Infrastruktur auf, indem sie regul\u00e4re, kompromittierte WordPress-Websites missbrauchten.<\/p>\n
Mit einem globalen Marktanteil von \u00fcber 43 Prozent im Jahr 2026 (Statista) ist WordPress ein \u00e4u\u00dferst attraktives Ziel f\u00fcr Cyberkriminelle, die sowohl Skalierbarkeit als auch eine scheinbare Legitimit\u00e4t f\u00fcr ihre Angriffe suchen. Die T\u00e4ter nutzten diese gehackten Webseiten \u00fcber den gesamten Lebenszyklus des Angriffs hinweg, um Schadsoftware zu hosten, weitere sch\u00e4dliche Nutzlasten auszuliefern, mit infizierten Ger\u00e4ten zu kommunizieren sowie gestohlene Dokumente, Screenshots und Aktivit\u00e4tsprotokolle zu sichern.<\/p>\n
Durch die Zweckentfremdung dieser vertrauensw\u00fcrdigen Webseiten gelang es ihnen, ihre b\u00f6sartigen Aktivit\u00e4ten effektiv im legitimen Internet-Datenverkehr zu tarnen. Ein zentraler Treiber dieser Gefahr bleibt die mangelnde Update-Disziplin der Website-Betreiber. Im Rahmen der Untersuchung stie\u00df Check Point Research beispielsweise auf eine kompromittierte Webseite, auf der eine WordPress-Version aus dem Jahr 2021 mit fast 40 bekannten, ungepatchten Schwachstellen lief.<\/p>\n
W\u00e4hrend der Untersuchung entdeckten die Sicherheitsforscher von Check Point Research offene Verzeichnisse mit Protokolldateien, Screenshots der Opfer, gestohlene Dateien und Administrationswerkzeugen. Zudem konnten sie von Automatisierungstools, die die Kriminellen nutzen, den Quellcode sichern. Die Tools halfen den Kriminellen dabei, die rund 2.000 missbrauchten WordPress-Domains im gro\u00dfen Stil zu verwalten.<\/p>\n
Die Entdeckung interner Entwicklungsdaten auf dem Sammel-Server deutet stark darauf hin, dass sich einer der Entwickler der Kampagne versehentlich selbst infiziert hat. Obwohl dieses verr\u00e4terische Archiv nach wenigen Tagen vom Server entfernt wurde, erm\u00f6glichte diese tempor\u00e4re Offenlegung den Forschern wertvolle und detaillierte Einblicke in die Funktionsweise und Organisation moderner cyberkrimineller Kampagnen. Wenn Angreifer solche folgenschweren Fehler begehen, erhalten Verteidiger einen unsch\u00e4tzbaren Vorteil beim Verst\u00e4ndnis moderner Angriffskampagnen.<\/p>\n
Die Infektionskette der StopAndProtect-Kampagne basiert nicht auf hochkomplexen technischen Exploits, sondern nutzt gezielt menschliches Verhalten aus. Opfer sto\u00dfen im Internet auf gef\u00e4lschte CAPTCHAs, die die sogenannte \u201eClickFix\"-Social-Engineering-Technik verwenden. Hierbei werden Nutzer explizit dazu angewiesen, bestimmte Befehle zu kopieren, in ihr System einzuf\u00fcgen und auszuf\u00fchren \u2013 im Glauben, eine regul\u00e4re Sicherheitspr\u00fcfung zu absolvieren.<\/p>\n
Dadurch starten die Anwender unwissentlich eine mehrstufige Infektionskette, die im Hintergrund Schadcode von den kompromittierten WordPress-Websites nachl\u00e4dt. Diese Taktik verdeutlicht einen gef\u00e4hrlichen Trend in der Bedrohungslandschaft, bei dem Angreifer psychologische Manipulation, vertrauensw\u00fcrdige Web-Infrastrukturen und anpassbare, modulare Malware kombinieren, um maximale Reichweite bei minimaler Entdeckungsgefahr zu erzielen. Je nach den strategischen Zielen der T\u00e4ter kann die eingesetzte Schadsoftware sensible Dokumente stehlen, Anmeldedaten aussp\u00e4hen, Daten exfiltrieren oder den Weg f\u00fcr sp\u00e4tere Ransomware-Erpressungen ebnen.<\/p>\n
\u201eStopAndProtect zeigt eindr\u00fccklich, wie Angreifer Tausende schlecht gewartete WordPress-Websites in eine hocheffiziente, verteilte kriminelle Infrastruktur f\u00fcr die Verbreitung von Malware, \u00dcberwachung, Datendiebstahl und Ransomware verwandeln k\u00f6nnen\", erkl\u00e4rt Eli Smadja, Head of Research bei Check Point Research. \u201eAufgrund unserer Forschungsergebnisse raten wir Organisationen dringend zur Vorsicht bei unerwarteten CAPTCHA-Aufforderungen, die dazu anleiten, Befehle zu kopieren, einzuf\u00fcgen oder auszuf\u00fchren. Nutzer sollten ihre Ger\u00e4te und Sicherheitssoftware stets auf dem neuesten Stand halten und jede Website sofort verlassen, die ungew\u00f6hnliche Schritte au\u00dferhalb des Browsers verlangt.\"<\/p>\n
Um sich vor StopAndProtect und \u00e4hnlichen Kampagnen wirksam zu sch\u00fctzen, empfiehlt Check Point Research die Umsetzung folgender Sicherheitsma\u00dfnahmen:<\/p>\n
Der vollst\u00e4ndige Report Thousands of Hacked WordPress Sites, One Operation: Unmasking StopAndProtect<\/a> vom 18. August 2026 enth\u00e4lt eine technische Analyse der StopAndProtect-Kampagne inklusive aller Indicators of Compromise (IOCs).<\/p>\n","protected":false},"excerpt":{"rendered":" Auch Cyberkriminelle machen Fehler, und manchmal profitieren Sicherheitsforscher davon. Ein fataler Fehler der\u00a0 bei der Absicherung des Betriebs durch Cyberkriminelle gew\u00e4hrte Sicherheitsforschern einen tiefen Einblick in eine weitreichende kriminelle Infrastruktur, die mehr als 5.000 infizierte Computer und fast 2.000 kompromittierte … Weiterlesen