Die DriveSurge-Malwarekampagne hat tausende legitime Websites gekapert, um Malware über ClickFix- und FakeUpdate-Angriffe zu verbreiten. Sicherheitsforscher entdeckten, dass Angreifer vertrauenswürdige Websites kompromittierten und Besucher heimlich auf schädliche Seiten umleiteten, die Systeme mit Malware infizieren sollten.
Die Operation setzte hauptsächlich auf Social Engineering statt auf klassische Software-Exploits. Opfer sahen gefälschte Browserfehler, Verifizierungsaufforderungen und manipulierte Update-Seiten, die Nutzer dazu brachten, schädliche Befehle auszuführen oder Malware herunterzuladen.
Forscher gehen davon aus, dass die Kampagne in großem Umfang betrieben wurde und Internetnutzer in mehreren Regionen betraf.
Kompromittierte Websites leiteten Besucher um
Forscher entdeckten, dass die Angreifer schädliche Skripte in tausende kompromittierte Websites injizierten. Die infizierten Seiten leiteten ausgewählte Besucher unbemerkt auf von Angreifern kontrollierte Infrastruktur um, ohne dass Website-Betreiber dies sofort bemerkten.
Die Kampagne nutzte Traffic-Filterungssysteme, um zu bestimmen, welche Nutzer schädliche Weiterleitungen erhielten. Einige Besucher sahen weiterhin normale Inhalte, während andere auf Malware-Seiten umgeleitet wurden.
Diese selektive Zielauswahl half der Operation dabei, über längere Zeit verborgen zu bleiben. Website-Administratoren bemerkten die Kompromittierung möglicherweise nicht, da das schädliche Verhalten nicht bei jedem Besucher sichtbar war.
Die Forscher beschrieben die Infrastruktur als stark automatisiert und in der Lage, große Mengen an Webverkehr gleichzeitig zu verarbeiten.
ClickFix-Angriffe setzten auf Social Engineering
Die Kampagne missbrauchte intensiv sogenannte ClickFix-Techniken, die auf Nutzerinteraktion statt auf direkte Schwachstellen-Ausnutzung setzen.
Opfer wurden mit gefälschten CAPTCHA-Seiten, Browserwarnungen oder technischen Verifizierungsaufforderungen konfrontiert. Diese Seiten wiesen Nutzer an, Befehle in den Windows-Ausführen-Dialog oder die PowerShell-Konsole zu kopieren und einzufügen.
Nach der Ausführung luden die Befehle Malware auf das Gerät des Opfers herunter.
Forscher warnten davor, dass ClickFix-Angriffe weiter zunehmen, weil sie viele klassische Sicherheitsmechanismen umgehen. Statt Softwarefehler auszunutzen, manipulieren die Angreifer Nutzer dazu, ihre Systeme selbst zu infizieren.
Dieser Ansatz erschwert außerdem die Erkennung, da die Aktivitäten wie normales Nutzerverhalten wirken.
FakeUpdate-Seiten imitierten echte Softwarewarnungen
Die Angreifer verwendeten während der gesamten Kampagne auch FakeUpdate-Techniken. Opfer sahen realistische Update-Meldungen, die scheinbar von Browsern, Windows-Systemen oder bekannten Anwendungen stammten.
Die gefälschten Hinweise forderten Nutzer dazu auf, angebliche Sicherheitsupdates oder Browserkorrekturen zu installieren. Statt legitimer Software enthielten die Downloads jedoch Malware, die Daten stehlen oder Angreifern Fernzugriff ermöglichen konnte.
FakeUpdate-Kampagnen werden immer beliebter, weil viele Nutzer Update-Hinweisen automatisch vertrauen. Gut gestaltete Fälschungen können echten Systemwarnungen täuschend ähnlich sehen.
Forscher erklärten außerdem, dass die Angriffe stark auf Stress und Dringlichkeit setzen, um Nutzer zu schnellen Entscheidungen zu bewegen.
Forscher bringen Kampagne mit größeren Malware-Operationen in Verbindung
Sicherheitsanalysten, die die Kampagne verfolgen, vermuten, dass die Betreiber als sogenannte Initial Access Brokers arbeiten. Diese Gruppen spezialisieren sich darauf, Systeme zu kompromittieren und den Zugriff anschließend an andere Cyberkriminelle weiterzuverkaufen.
Anstatt selbst Ransomware einzusetzen, konzentrieren sich Access Broker darauf, möglichst viele Infektionen zu erzeugen, die später von anderen Angreifern genutzt werden können.
Forscher beobachteten Hinweise darauf, dass die Kampagne möglicherweise Teil eines Pay-per-Install-Modells ist, bei dem Malware-Betreiber für jede erfolgreiche Infektion bezahlen, die über das Netzwerk kompromittierter Websites ausgeliefert wird.
Die Struktur zeigt, wie moderne Cyberkriminalität zunehmend wie ein arbeitsteiliges Geschäftsökosystem funktioniert.
Website-Betreiber sollten ihre Sicherheit überprüfen
Sicherheitsexperten empfehlen Website-Administratoren, ihre Systeme auf eingeschleuste Skripte, verdächtige Weiterleitungen und unautorisierte Dateiänderungen zu überprüfen. Unternehmen sollten außerdem CMS-Systeme, Plugins und Serversoftware aktuell halten, um das Risiko von Kompromittierungen zu reduzieren.
Starke Administratorpasswörter und Multi-Faktor-Authentifizierung bleiben wichtige Schutzmaßnahmen gegen Website-Übernahmen.
Forscher raten Internetnutzern außerdem zur Vorsicht, wenn Websites plötzlich unerwartete Verifizierungsaufforderungen, Update-Hinweise oder Anweisungen zur Nutzung von PowerShell oder Kommandozeilenbefehlen anzeigen.
Legitime Websites und echte Softwareupdates verlangen nur selten, dass Nutzer manuell Befehle in Systemkonsolen einfügen.
Fazit
Die DriveSurge-Malwarekampagne zeigt, wie Angreifer weiterhin legitime Websites missbrauchen, um Malware in großem Umfang zu verbreiten. Durch die Kompromittierung vertrauenswürdiger Seiten und die Umleitung von Besuchern auf ClickFix- und FakeUpdate-Seiten schufen die Betreiber ein effektives Malware-Verteilungsnetzwerk auf Basis von Social Engineering.
Die Kampagne verdeutlicht außerdem den zunehmenden Wandel weg von klassischen Exploits hin zu Angriffen, die menschliches Verhalten manipulieren. Da sich diese Methoden weiter verbreiten, müssen sowohl Unternehmen als auch normale Internetnutzer bei unerwarteten Update-Meldungen, CAPTCHA-Anfragen und Browserwarnungen besonders vorsichtig bleiben.
0 Kommentare zu „Die DriveSurge-Malwarekampagne kapert tausende Websites“