Falsche CAPTCHA-Falle: Kopierter Text plündert Krypto-Wallets

Eine groß angelegte Cyberattacke nutzt fast 2.000 gehackte WordPress-Websites, um Malware zu verbreiten. Die Schadsoftware zielt auf Windows-Nutzer und kann Passwörter, persönliche Dateien und sogar Wiederherstellungsphrasen von Krypto-Wallets stehlen.

Der Angriff ist schwer zu erkennen. Betroffene besuchen bestehende Unternehmenswebsites oder Blogs, bekommen dort jedoch ein gefälschtes CAPTCHA angezeigt. Wer den Anweisungen folgt, installiert unter Umständen unbemerkt selbst die Malware.

Gefälschtes CAPTCHA verschafft Kriminellen Zugriff auf Computer

Sicherheitsforscher von Check Point Research bezeichnen die Kampagne als StopAndProtect. Kriminelle übernehmen schlecht gesicherte WordPress-Seiten und nutzen sie anschließend, um Besucher anzugreifen.

Auf den Websites erscheint ein CAPTCHA, das Nutzer auffordert, Text zu kopieren und über PowerShell auszuführen. Dabei handelt es sich um ein Standardprogramm in Windows. Wer den Befehl ausführt, installiert in Wahrheit die Malware.

Danach können die Angreifer umfangreiche Daten abgreifen. Die Software sucht nach gespeicherten Passwörtern und Dateien, kann aber auch Tastatureingaben aufzeichnen und alle 30 Sekunden einen Screenshot erstellen.

Für Krypto-Besitzer ist vor allem eine Funktion gefährlich: Die Malware sucht nach Wiederherstellungsphrasen von Wallets. Eine solche Folge aus meist 12 oder 24 Wörtern kann ausreichen, um von einem anderen Gerät aus Zugriff auf die zugehörigen Krypto-Bestände zu erhalten.

Tausende Computer bereits infiziert

Das Ausmaß des Angriffs wurde sichtbar, weil die Kriminellen ihre eigene Infrastruktur schlecht abgesichert hatten. Forscher erhielten dadurch Zugriff auf Dateien mit Informationen zu fast 2.000 gekaperten Websites.

Am 24. Juli waren mehr als 6.000 eindeutige IP-Adressen als infiziert registriert. Check Point fand außerdem Hunderte Datensammlungen mit gestohlenen Informationen. Ein ungeschützter Ordner enthielt sogar mehr als 20.000 Screenshots von Computern der Opfer.

Die wichtigste Warnung ist einfach: Ein normales CAPTCHA fordert niemals dazu auf, Code über PowerShell oder die Windows-Eingabeaufforderung auszuführen. Erscheint eine solche Aufforderung, sollte der Befehl nicht ausgeführt und die Website verlassen werden.