SocGholish-Malware von fast 15.000 Websites entfernt

Strafverfolgungsbehörden haben einen großen Teil der Infrastruktur hinter der SocGholish-Malware zerschlagen, einer langjährigen Bedrohung, die weltweit Tausende von Websites infiziert hat. Die Behörden entfernten Schadcode von fast 15.000 kompromittierten WordPress-Websites und beschlagnahmten Server, die zur Verbreitung von Malware an ahnungslose Besucher genutzt wurden.

An der Operation waren Behörden aus mehreren Ländern beteiligt. Sie war Teil der umfassenderen Initiative Operation Endgame, die große Cyberkriminalitätsnetzwerke ins Visier nimmt. Ermittler erklären, dass die Aktion eines der hartnäckigsten Malware-Verteilungssysteme im Internet erheblich gestört hat.

Behörden bereinigten Tausende infizierte Websites

Nach Angaben der Behörden entfernten Ermittler Malware und Hintertüren von 14.971 kompromittierten WordPress-Websites. Zudem schalteten sie 106 Server und Domains aus, die die Operation unterstützten.

Die Maßnahme konzentrierte sich auf Infrastruktur, die mit SocGholish in Verbindung steht – einer Malware-Kampagne, die seit Jahren aktiv ist. Sicherheitsforscher und Strafverfolgungsbehörden bringen die Operation seit Langem mit cyberkriminellen Aktivitäten in Verbindung, die mit Evil Corp verknüpft sind.

Die Behörden bezeichnen die Aktion als wichtigen Schritt zur Verringerung der Bedrohung durch die Malware-Kampagne. Gleichzeitig betonen die Ermittler, dass weitere Maßnahmen folgen könnten, während sie die verbleibende Infrastruktur ins Visier nehmen.

Gefälschte Updates trieben die Infektionen an

SocGholish-Malware verbreitet sich über kompromittierte Websites, die gefälschte Browser-Update-Meldungen anzeigen. Besucher werden dazu verleitet, herunterzuladen, was wie ein legitimes Software-Update aussieht. Tatsächlich installiert der Download Schadcode auf dem Gerät des Opfers.

Forscher verfolgen die Kampagne bereits seit mindestens 2018. Im Laufe der Jahre entwickelte sich die Malware zu einer effektiven Plattform für den Erstzugriff, die zur Verteilung weiterer Bedrohungen genutzt wird. Opfer erhalten nach der ersten Infektion häufig Ransomware, Infostealer, Fernzugriffswerkzeuge oder andere Arten von Malware.

Die Kampagne setzt stark auf Vertrauen. Die Angreifer kompromittieren legitime Websites und nutzen diese, um gefälschte Update-Aufforderungen anzuzeigen. Dadurch wirken die Angriffe auf Besucher glaubwürdig.

Website-Betreiber sollen ihre Sicherheit stärken

Die Ermittler empfehlen betroffenen Website-Betreibern, ihre Systeme auf unautorisierte Änderungen zu überprüfen und sämtliche WordPress-Software zu aktualisieren. Sicherheitsexperten raten außerdem dazu, Administrator-Passwörter zu ändern, Multifaktor-Authentifizierung zu aktivieren und unbekannte Konten zu entfernen.

Obwohl die Operation die Größe des Netzwerks erheblich reduziert hat, warnen Sicherheitsforscher davor, dass ähnliche Malware-Kampagnen weiterhin verwundbare Websites angreifen. Organisationen mit öffentlich zugänglicher Webinfrastruktur sollten ihre Systeme weiterhin auf Anzeichen einer Kompromittierung überwachen und sicherstellen, dass alle Komponenten vollständig aktualisiert sind.

Fazit

Die Zerschlagung der SocGholish-Malware markiert eine der größten Bereinigungsaktionen von Websites der letzten Jahre. Durch die Entfernung von Schadcode von fast 15.000 Websites und die Ausschaltung zentraler Infrastruktur haben die Behörden eine Operation geschwächt, die Cyberkriminellen den Zugang zu Tausenden von Systemen ermöglichte. Die Aktion zeigt, wie internationale Zusammenarbeit groß angelegte Cyberkriminalität stören kann. Dennoch müssen Verteidiger wachsam bleiben, da Bedrohungsakteure ihre Methoden kontinuierlich weiterentwickeln.