WORLDTECHGehackte Websites zeigen Windows- und Mac-Nutzern falsche Cloudflare-Prüfungen
Angreifer missbrauchen kompromittierte Websites, um gefälschte Cloudflare-Verifizierungsseiten anzuzeigen, die Windows- und macOS-Nutzer dazu drängen, schädliche Befehle auszuführen, berichtet GBHackers. Die Hinweise deuten auf einen versuchten Angriff und nicht auf eine bestätigte Infektion hin.
Was der Forscher beobachtete
Statt einer echten Prüfung erhalten Besucher der betroffenen Seiten Anweisungen, die die Ausführung vom Browser auf den eigenen Rechner verlagern sollen. Das Vorgehen setzt darauf, dass vertraute Browser-Sicherheitsprüfungen den Köder als Routine erscheinen lassen.
Ein nur als Duncan bezeichneter Forscher stellte fest, dass sich die Anweisungen je nachdem unterschieden, ob der Köder von einem Windows- oder einem macOS-Rechner aus aufgerufen wurde, was darauf hindeutet, dass die Kampagne beide Systeme berücksichtigt. Duncan hat die Identität der legitimen Website, deren Kompromittierung seine Untersuchung ausgelöst hat, nicht preisgegeben.
Test endet vor jeder Nutzlast
Als Duncan den Befehl in seiner Testumgebung ausführte, antwortete der Hosting-Server mit einer HTTP-403-Forbidden-Meldung, wodurch die weitere Analyse der vorgesehenen Zustellungskette gestoppt wurde. Zudem ließ sich eine Domain während der Tests nicht auflösen, sodass die Untersuchung erneut endete, bevor eine Nutzlast abgerufen werden konnte.
Laut dem Bericht beweist keiner der beiden Fehlschläge, dass die Kampagne harmlos oder dauerhaft inaktiv ist. Sie beschreiben, wie sich die Infrastruktur während der Beobachtungen des Forschers verhielt; die Schadsoftware, die sie ausliefern sollte, bleibt unidentifiziert.
Eine Technik, die auf den Nutzer setzt
Der Ansatz ist eine Variante von ClickFix, einer Methode, bei der Nutzer den riskanten Schritt selbst ausführen. Microsoft beschreibt sie so, dass ein scheinbares Problem oder eine Verifizierungspflicht gezeigt und die Opfer anschließend aufgefordert werden, vom Angreifer vorgegebene Befehle auszuführen.
Der Bericht stellt fest, dass Windows-Kampagnen häufig den Ausführen-Dialog nutzen, während macOS-Varianten Nutzer anweisen können, Befehle im Terminal auszuführen. Dies sind Merkmale der allgemeinen Technik und wurden nicht unabhängig als die genauen Befehle in Duncans Kampagne bestätigt.
Warum die Beobachtung für Verteidiger zählt
Das SANS Internet Storm Center dokumentierte die bis dahin unbenannte Kampagne am 28. Oktober 2026, konnte jedoch für keine der beiden Plattformen die vorgesehene Nutzlast abrufen. Die Befunde verlangen daher eine Untersuchung im Kontext und keine automatische Annahme, dass Schadsoftware erfolgreich ausgeführt wurde.
Der Bericht erklärt, der Köder liefere Verteidigern einen nützlichen Indikator für die Suche, etwa bei der Prüfung von Browserverläufen, Proxy-Telemetrie oder unerwarteten externen Skripten, die Websites laden.
Offene Fragen
- Wie viele Websites wurden kompromittiert, um die gefälschten Verifizierungsseiten zu hosten?
- Welche Schadsoftware sollte die Kampagne gegebenenfalls an Windows- und macOS-Nutzer ausliefern?