15. Februar 2026
Malware-Analyst Anurag Gawande hat eine umfangreiche Infrastruktur aufgedeckt, bei der Angreifer die Hosting-Plattform Cloudflare Pages systematisch für die Verbreitung von Schadsoftware missbrauchen. Die Kampagne nutzt scheinbar harmlose Blog-Artikel als Einstiegspunkte und leitet Nutzer über ein ausgeklügeltes Verteilungssystem zu verschiedenen schadhaften Zielen weiter. Die Aktivitäten lassen sich über einen Zeitraum von mindestens fünf Monaten nachverfolgen.
Täuschend echte Inhalte als Köder
Die entdeckte Infrastruktur basiert auf einer ausgefeilten Methode: Über die Domain pages.dev werden vermeintlich legitime Artikel zu Themen wie dem Vermögen von Prominenten oder Spiele-Hilfestellungen bereitgestellt. Diese Inhalte sind für Suchmaschinen optimiert und werden in den Google-Suchergebnissen indexiert, was die Reichweite erheblich vergrößert.
Wenige Sekunden nach dem Laden der Seite erscheint ein Modal-Fenster mit der Aufforderung „Weiterlesen“ oder „Continue Read“. Die Weiterleitung erfolgt ausschließlich nach einem aktiven Klick des Nutzers – eine Strategie, die automatisierte Sicherheitssysteme umgeht, da diese typischerweise keine Interaktionen simulieren.
Umfang und Persistenz der Kampagne
Die Analyse ergab mehr als 250 verschiedene URLs, die ein identisches Erscheinungsbild und Verhalten aufweisen. Sämtliche Seiten nutzen dieselbe Vorlage, was auf ein zentral verwaltetes System hindeutet. Daten von URLScan belegen, dass diese Aktivitäten bereits seit etwa fünf Monaten nachweisbar sind – ein ungewöhnlich langer Zeitraum für derartige Operationen.
Die Indizierung durch Suchmaschinen erhöht die Wahrscheinlichkeit deutlich, dass reguläre Nutzer auf diese Inhalte stoßen. Diese Kombination aus Persistenz und Sichtbarkeit unterscheidet die Kampagne von vielen kurzlebigen Angriffen.
Technischer Ablauf der Weiterleitung
Die technische Umsetzung erfolgt über eine verzögerte Anzeige des Modal-Fensters und eine JavaScript-basierte Weiterleitung nach dem Klick. Eine zentrale Beobachtung: Die meisten analysierten Seiten leiten zu demselben Ziel weiter. Dies deutet darauf hin, dass die pages.dev-Websites nicht eigenständige Phishing-Seiten sind, sondern als Traffic-Verteiler fungieren.
Der URL-Parameter „key“ in den Weiterleitungen scheint gezielt eingesetzt zu werden, vermutlich zur Nachverfolgung der Kampagnen, zum Affiliate-Tracking oder zur Kategorisierung der Besucher. Die verschiedenen SEO-optimierten Seiten dienen als Einstiegspunkte, die den Traffic zu einer zentralisierten Infrastruktur kanalisieren.
Zentrale Steuerungslogik
Der gemeinsame Weiterleitungs-Endpunkt fungiert als Schaltzentrale eines Traffic Distribution Systems (TDS). Dieses System übernimmt mehrere Aufgaben:
Die geografische und IP-basierte Filterung ermöglicht es, Zugriffe nach Herkunftsland oder Region zu steuern. Eine integrierte Proxy- und VPN-Erkennung identifiziert anonymisierte Verbindungen. Die Validierung des User-Agents erlaubt die Unterscheidung zwischen echten Browsern und automatisierten Systemen. Das Kampagnen-Routing verteilt Besucher je nach Kontext auf unterschiedliche Ziele, während die bedingte Payload-Übertragung entscheidet, welche schadhaften Inhalte ausgespielt werden.
Blockade von Analysewerkzeugen
Bei Tests über VPN-Verbindungen oder Proxy-Server wurde die Weiterleitung gestoppt. Stattdessen erschien die Meldung „Anonymer Proxy erkannt“ ohne weitere Aktionen. Diese Maßnahme erschwert die Analyse erheblich, da Sicherheitsforscher häufig auf anonymisierte Verbindungen angewiesen sind.
Die Konsequenz: Automatisierte Sandboxen und Forschungsumgebungen können die tatsächliche Schadsoftware oft nicht erreichen. Dies führt zu niedrigen Erkennungsraten bei Antivirenprogrammen. Automatisierte Scans liefern möglicherweise unauffällige Ergebnisse, obwohl im Hintergrund schädliche Aktivitäten ablaufen.
Verschiedene schadfhafte Ziele
Die Weiterleitung führt zu unterschiedlichen Ergebnissen, je nach Profil des Besuchers und Kampagnenziel. Ein beobachteter Pfad zeigte eine Seite mit der Meldung „Ihre Datei steht zum Download bereit“. Der Download erfolgte über einen Zwischenhost, wobei die finale Datei auf Amazon S3 gespeichert war – typischerweise im ZIP-Format mit Namen wie „SetupFile-xxxx.zip“.
Ein weiterer Zweig präsentierte eine gefälschte Browser-Kompatibilitätsprüfung mit niedrigen Bewertungen wie „40/100“, verbunden mit der Empfehlung, den Opera-Browser zu installieren. Solche Muster sind charakteristisch für Affiliate-basierte Browser-Installations-Kampagnen, die im Malvertising-Bereich häufig auftreten.
Manche Weiterleitungen führten zu Social-Engineering-Seiten mit QR-Codes oder CAPTCHA-Imitationen. Die Aufforderung „Beweisen Sie, dass Sie kein Roboter sind“ erforderte das Scannen eines QR-Codes mit einem mobilen Gerät. Diese Methode kann zu Phishing-Seiten für Zugangsdaten, zu Abonnement-Betrug mit versteckten Gebühren oder zur Verteilung mobiler Schadsoftware führen.
Beispiel einer Schadsoftware mit niedriger Erkennungsrate
Eine dokumentierte ausführbare Datei wurde als Adware beziehungsweise potenziell unerwünschtes Programm (PUP) klassifiziert. Der SHA256-Hash der Datei lautet:
be590100ecdcae5ce4b7b42f87082e201fcb2f38c114c8fbc6640ad9b9a0708aDie Analyse bei VirusTotal zeigte eine Erkennung, jedoch fallen die Raten tendenziell niedrig aus. Dies ist charakteristisch für Schadsoftware, die durch Anti-Analyse-Mechanismen geschützt ist und deren Verteilung über legitim wirkende Infrastrukturen erfolgt.
Strukturelle Ähnlichkeit zu professionellen Malvertising-Systemen
Die gesamte Konfiguration entspricht modernen Traffic Distribution Systems, wie sie im Malvertising-Bereich etabliert sind. Der Missbrauch einer vertrauenswürdigen Plattform wie Cloudflare Pages, die Indizierung durch Suchmaschinen zur Generierung organischen Traffics und die Verwendung klickbasierter Weiterleitungen zur Umgehung automatisierter Analysen sind typische Merkmale.
Die zentrale Weiterleitung ermöglicht eine bedingte Auslieferung der Schadsoftware, abhängig vom jeweiligen Besucher. Diese Architektur unterstützt zudem verschiedene Monetarisierungswege statt eines einzelnen Ziels. Die Erkenntnisse deuten darauf hin, dass es sich nicht um ein isoliertes Phishing-Kit handelt, sondern um ein umfassenderes Weiterleitungs-Ökosystem, das für die großflächige Traffic-Verteilung konzipiert ist.
Kompromittierungsindikatoren
Folgende technische Indikatoren wurden dokumentiert:
Domain: preservationwristwilling[.]com
Pfad: /utx3iw6i
Parameter: key=<token>
Zwischenhost: loaditfile[.]com
Die Domain preservationwristwilling[.]com mit dem Pfad /utx3iw6i und dem Abfrageparameter key=<token> dient als zentrale Weiterleitung. Die Domain loaditfile[.]com wurde als Zwischenhost für Downloads identifiziert.
Fazit
Die dokumentierte Kampagne zeigt, wie Angreifer verschiedene Techniken kombinieren, um über längere Zeiträume unentdeckt zu bleiben. Der Missbrauch legitimer Hosting-Dienste, die Nutzung von SEO-Techniken zur Gewinnung echter Nutzer, die Implementierung klickbasierter Weiterleitungen zur Vermeidung automatisierter Erkennung und die Steuerung über ein zentralisiertes Traffic-System bilden eine resiliente Infrastruktur.
Diese Architektur ermöglicht die unbemerkte Verbreitung von Schadsoftware oder anderen schadhaften Inhalten über einen ausgedehnten Zeitraum. Die Kombination aus technischer Raffinesse und der Nutzung vertrauenswürdiger Plattformen stellt eine erhebliche Herausforderung für Sicherheitssysteme dar.
„Die in diesem Beitrag bereitgestellten Informationen wurden sorgfältig recherchiert, erheben jedoch keinen Anspruch auf Vollständigkeit oder absolute Richtigkeit. Sie dienen ausschließlich der allgemeinen Orientierung und ersetzen keine professionelle Beratung. Die Redaktion übernimmt keine Haftung für eventuelle Fehler, Auslassungen oder Folgen, die aus der Nutzung der Informationen entstehen.“
Entdecke mehr
Fachartikel
Cloudflare Pages als Tarnung: Weiterleitungsnetzwerk verteilt Malware über 250 gefälschte Blogs
KI-Framework Zen-AI-Pentest vereint 20 Sicherheitstools unter einem Dach
Gefährliche Chrome-Erweiterung entwendet Zugangsdaten von Meta Business-Konten
Agentenbasierte KI im Unternehmen: Wie Rollback-Mechanismen Automatisierung absichern
Google dokumentiert zunehmenden Missbrauch von KI-Systemen durch Cyberkriminelle
Studien
Deutsche Wirtschaft unzureichend auf hybride Bedrohungen vorbereitet
Cyberkriminalität im Dark Web: Wie KI-Systeme Betrüger ausbremsen
Sicherheitsstudie 2026: Menschliche Faktoren übertreffen KI-Risiken
Studie: Unternehmen müssen ihre DNS- und IP-Management-Strukturen für das KI-Zeitalter neu denken
Deutsche Unicorn-Gründer bevorzugen zunehmend den Standort Deutschland
Whitepaper
MITRE ATLAS analysiert OpenClaw: Neue Exploit-Pfade in KI-Agentensystemen
BSI setzt Auslaufdatum für klassische Verschlüsselungsverfahren
Token Exchange: Sichere Authentifizierung über Identity-Provider-Grenzen
KI-Agenten in Unternehmen: Governance-Lücken als Sicherheitsrisiko
KuppingerCole legt Forschungsagenda für IAM und Cybersecurity 2026 vor
Hamsterrad-Rebell
KI‑basierte E‑Mail‑Angriffe: Einfach gestartet, kaum zu stoppen
NIS2: „Zum Glück gezwungen“ – mit OKR-basiertem Vorgehen zum nachhaltigen Erfolg
Cyberversicherung ohne Datenbasis? Warum CIOs und CISOs jetzt auf quantifizierbare Risikomodelle setzen müssen
Identity Security Posture Management (ISPM): Rettung oder Hype?
