6. Oktober 2025
IT-Spezialisten von Sucuri entdeckten kürzlich bei einem Kunden verdächtige JavaScript-Ladevorgänge auf einer WordPress-Seite: Im Browser erschienen Drittanbieter-Skripte, die der Betreiber nie installiert hatte. Eine anschließende Untersuchung ergab, dass die Infektion auf eine böswillige Änderung der Datei functions.php des aktiven Themes zurückzuführen war. Der eingeschleuste PHP-Code lud im Hintergrund externes JavaScript von Domains, die von Angreifern kontrolliert werden, und fügte diese Skripte in das Frontend der Website ein.
Hintergrund der Sicherheitsverletzung
Sie fanden ein verdächtiges Skript, das auf der Website des Kunden geladen wurde. Als Sucuri den Quellcode der Seite ansahen, fanden sie Folgendes:
Diese eine Codezeile war der erste Hinweis. Bei weiteren Recherchen zeigte sich, dass die betreffende JavaScript-Datei zum Zeitpunkt der Untersuchung auf mindestens 17 Websites geladen wurde. Eine Überprüfung auf VirusTotal bestätigte den Verdacht: Die Domain war bereits von 17 Sicherheitsanbietern blockiert.
Bei der anschließenden Analyse der Website-Dateien entdeckten die Ermittler am Ende der functions.php-Datei des Themes einen unauffälligen Codeblock. Diese kleine, harmlos wirkende Funktion stellte sich als Einstiegspunkt für die gesamte bösartige Werbekampagne heraus.
Indikatoren für Kompromittierung (IoCs)
- brazilc[.]com
- porsasystem[.]com
Analyse der Malware
Remote Loader in functions.php
Am Ende der functions.php des Themes entdeckten die Untersuchenden die Funktion ti_custom_javascript(). Auf den ersten Blick wirkt sie harmlos.
Die eingeschleuste Funktion wird bei jedem Seitenaufruf über wp_head ausgeführt und kontaktiert dabei eine Remote-URL. Der ursprüngliche PHP-Code fungiert lediglich als Schlüssel — die eigentliche Gefahr steckt in den Inhalten, die er nachlädt.
Bösartige Antwort
Der Code baut eine POST-Verbindung zum Command-and-Control-Server (C&C) unter hxxps://brazilc[.]com/ads[.]php auf und nutzt echo, um die erhaltene Antwort direkt in den <head> des HTML-Dokuments einzufügen.
Bei einer manuellen Abfrage des Remote-Endpunkts lieferte dieser eine dynamische Nutzlast, die einen zweigleisigen Angriff ausführt:
-
Ein externes Skript von porsasystem[.]com/6m9x[.]js dient als Hauptkomponente für die beobachteten Weiterleitungen und Popups. Die Domain fungiert als Traffic-Verteiler und lädt weitere bösartige Skripte nach, die erzwungene Weiterleitungen auslösen können.
-
Das verbleibende, umfangreiche JavaScript erzeugt einen versteckten 1×1-Pixel-Iframe und injiziert dort Code, der eine legitime Cloudflare-Ressource (
cdn-cgi/challenge-platform/scripts/jsd/main.js) nachahmt. Mit dieser Technik versuchen Angreifer, Schutzmechanismen zu umgehen oder das Verhalten von Sicherheitslösungen zu manipulieren.
Dabei werden die Attribute data-cfasync='false' und async verwendet, um Interferenzen mit Cloudflare Rocket Loader zu vermeiden und das Skript asynchron zu laden, sodass es das Seitenrendering nicht blockiert.
Grafiken Quelle: Sucuri
Warum ist das gefährlich?
Website-Besucher können über die infizierte Seite Drive-by-Malware erhalten, darunter gefälschte Cloudflare-Verifizierungen, die das System oder persönliche Daten kompromittieren können.
Abhilfemaßnahmen
Es gibt mehrere Maßnahmen, die Website-Betreiber vorbeugend ergreifen sollten:
-
Software aktuell halten: Plugins, Themes und die gesamte Website-Software stets auf dem neuesten Stand halten und aktuelle Patches installieren, um bekannte Sicherheitslücken zu schließen. Auch Besucher sollten ihre Browser und Betriebssysteme aktuell halten.
-
Regelmäßig nach Malware suchen: Sowohl auf Server- als auch auf Client-Seite nach bösartigen Injektionen, Backdoors oder SEO-Spam prüfen.
-
Starke Passwörter verwenden: Für alle Konten, einschließlich sFTP, Datenbanken, cPanel und Admin-Benutzer, eindeutige und sichere Passwörter verlangen.
-
Protokolle überwachen: Logs regelmäßig kontrollieren, um ungewöhnliches oder verdächtiges Verhalten zu erkennen. Der Einsatz eines Dateiintegritätsüberwachungssystems kann zusätzliche Sicherheit bieten.
-
Web Application Firewall (WAF) einsetzen: Firewalls helfen, schädliche Bots abzuwehren, Brute-Force-Angriffe zu blockieren und Angriffe frühzeitig zu erkennen – Funktionen, die beispielsweise die Sucuri-Firewall bietet.
Unsere Leseempfehlungen
Bild/Quelle: https://depositphotos.com/de/home.html
Fachartikel
Wenn Angreifer selbst zum Ziel werden: Wie Forscher eine Infostealer-Infrastruktur kompromittierten
Mehr Gesetze, mehr Druck: Was bei NIS2, CRA, DORA & Co. am Ende zählt
WinDbg-UI blockiert beim Kopieren: Ursachenforschung führt zu Zwischenablage-Deadlock in virtuellen Umgebungen
RISE with SAP: Wie Sicherheitsmaßnahmen den Return on Investment sichern
Jailbreaking: Die unterschätzte Sicherheitslücke moderner KI-Systeme
Studien
Deutsche Unicorn-Gründer bevorzugen zunehmend den Standort Deutschland
IT-Modernisierung entscheidet über KI-Erfolg und Cybersicherheit
Neue ISACA-Studie: Datenschutzbudgets werden trotz steigender Risiken voraussichtlich schrumpfen
Cybersecurity-Jahresrückblick: Wie KI-Agenten und OAuth-Lücken die Bedrohungslandschaft 2025 veränderten
![Featured image for “Phishing-Studie deckt auf: [EXTERN]-Markierung schützt Klinikpersonal kaum”](https://www.all-about-security.de/wp-content/uploads/2025/12/phishing-4.jpg)
Phishing-Studie deckt auf: [EXTERN]-Markierung schützt Klinikpersonal kaum
Whitepaper
ETSI veröffentlicht weltweit führenden Standard für die Sicherung von KI
Allianz Risk Barometer 2026: Cyberrisiken führen das Ranking an, KI rückt auf Platz zwei vor
Cybersecurity-Jahresrückblick: Wie KI-Agenten und OAuth-Lücken die Bedrohungslandschaft 2025 veränderten
NIS2-Richtlinie im Gesundheitswesen: Praxisleitfaden für die Geschäftsführung
Datenschutzkonformer KI-Einsatz in Bundesbehörden: Neue Handreichung gibt Orientierung
Hamsterrad-Rebell
Cyberversicherung ohne Datenbasis? Warum CIOs und CISOs jetzt auf quantifizierbare Risikomodelle setzen müssen
Identity Security Posture Management (ISPM): Rettung oder Hype?
Platform Security: Warum ERP-Systeme besondere Sicherheitsmaßnahmen erfordern
Daten in eigener Hand: Europas Souveränität im Fokus
