Ein einzelner Sicherheitsverstoß bei einem Marketingtechnologieunternehmen hat einmal mehr gezeigt, wie fragil die Lieferkette des Webs sein kann. Laut Berichten von PCMag haben Angreifer Brevo kompromittiert, einen Anbieter von Online-Marketing, und diesen Zugang genutzt, um an einem einzigen Tag einen ClickFix-Angriff über zahlreiche Websites hinweg zu starten. Der Vorfall ist ein klares Beispiel dafür, dass ein ClickFix-Malware-Angriff seine Opfer nicht direkt ins Visier nehmen muss. Er kann stattdessen über einen vertrauenswürdigen Drittanbieterdienst eindringen.

Wie der Brevo-Hack die Tür öffnete

Brevo bietet Marketingtools, die viele Unternehmen direkt in ihre Websites einbinden, etwa E-Mail-Anmeldeformulare, Chat-Widgets oder Tracking-Skripte. Wenn ein Anbieter wie dieser kompromittiert wird, erlangen Angreifer nicht nur Zugang zu einer einzigen Website. Sie erhalten einen Fuß in jede Website, die den Code des Anbieters integriert hat. In diesem Fall schuf der Sicherheitsverstoß bei Brevo einen Weg für Angreifer, einen ClickFix-Angriff gleichzeitig in eine breite Palette von Websites einzuschleusen und damit einen einzelnen Ausfallpunkt in einen Massenverbreitungskanal für Malware zu verwandeln.

Das macht Sicherheitsverstöße auf Anbieterseite aus Datenschutz- und Sicherheitsperspektive so gefährlich. Website-Betreiber haben oft kaum Einblick in Änderungen, die aufseiten des Anbieters vorgenommen werden, und Besucher haben keine Möglichkeit zu wissen, dass ein im Hintergrund einer vertrauten Website laufendes Skript plötzlich bösartig geworden ist.

Was ClickFix-Angriffe tatsächlich bewirken

ClickFix ist eine Social-Engineering-Technik, die zunehmend verbreitet ist. Statt eine technische Schwachstelle in einem Browser oder Betriebssystem auszunutzen, setzt sie darauf, die Person am Keyboard zu täuschen. Typischerweise erscheint auf einer Webseite eine gefälschte Aufforderung, oft getarnt als CAPTCHA-Prüfung, Fehlermeldung oder als ein Schritt, der angeblich nötig ist, um ein vermeintliches Problem mit der Seite zu beheben. Die Aufforderung weist den Besucher an, einen Textabschnitt zu kopieren und in ein Befehlsfenster oder Ausführungsfeld auf seinem Computer einzufügen.

Dieser eingefügte Text ist tatsächlich ein bösartiger Befehl. Einmal ausgeführt, kann er Malware installieren, ohne dass der Nutzer jemals eine Datei im herkömmlichen Sinne herunterlädt oder auf einen offensichtlichen Link klickt. Da der Angriff auf eine Nutzeraktion statt auf einen Softwarefehler setzt, kann er viele der technischen Abwehrmaßnahmen umgehen, die darauf ausgelegt sind, konventionelle Methoden der Malware-Zustellung zu erkennen. Das ist ein Grund dafür, dass ClickFix zu einer bevorzugten Taktik von Angreifern geworden ist, die schnell eine große Anzahl von Geräten kompromittieren wollen.

Ein wachsendes Muster der Lieferkettenkompromittierung

Der Brevo-Vorfall fügt sich in ein breiteres Muster ein, bei dem Angreifer die Tools und Plattformen ins Visier nehmen, auf die andere Unternehmen angewiesen sind, statt direkt Endnutzer oder auch nur einzelne Unternehmen anzugreifen. Es ist eine ähnliche Dynamik wie bei ShinyHunters, die einen Hack von Metabase beanspruchten, einer Business-Analytics-Plattform, die von mehr als 100.000 Organisationen genutzt wird, wodurch eine enorme Zahl nachgelagerter Nutzer durch einen einzigen Sicherheitsverstoß potenziell gefährdet wurde. Es erinnert auch an die Bedenken, die rund um ungepatchte Schwachstellen in weit verbreiteten Plattformen wie GeoServer geäußert wurden, wo ein unbehobener Fehler in gemeinsam genutzter Infrastruktur gleichzeitig über viele Organisationen hinweg ausgenutzt werden kann.

Diese Vorfälle haben einen gemeinsamen Nenner: Je stärker das Web vernetzt ist und je mehr Unternehmen auf Skripte, Plugins und Plattformen von Drittanbietern angewiesen sind, desto stärker kann ein einzelner kompromittierter Anbieter sich zu einem weitverbreiteten Angriff ausweiten.

Was das für Sie bedeutet

Für alltägliche Internetnutzer lautet die Lehre aus diesem ClickFix-Malware-Angriff nicht, dass eine bestimmte Website nicht vertrauenswürdig ist. Sie lautet, dass selbst legitime, vertraute Websites vorübergehend weaponisiert werden können, ohne dass sie selbst etwas dafür können, einfach weil ein Anbieter, auf den sie sich verlassen, kompromittiert wurde. Die eigentliche Verteidigung besteht hier darin, das ClickFix-Muster selbst zu erkennen. Keine legitime Website wird Sie jemals auffordern, eine Eingabeaufforderung oder ein Ausführungsfeld zu öffnen und Text einzufügen, um zu „bestätigen“, dass Sie ein Mensch sind, oder um ein Anzeigeproblem zu „beheben“. Diese Anweisung sollte, wo immer sie erscheint, jedes Mal als Warnsignal behandelt werden.

Handlungsempfehlungen

Wenn Ihnen eine Aufforderung begegnet, einen Befehl zu kopieren und in Ihren Computer einzufügen, schließen Sie die Seite sofort, anstatt den Anweisungen zu folgen. Halten Sie Ihr Betriebssystem und Ihren Browser aktuell, da Patches manchmal die Auswirkungen von Skripten verringern können, die dennoch durchkommen. Erwägen Sie die Nutzung von Browser-Erweiterungen oder Sicherheitstools, die verdächtiges Skriptverhalten auf von Ihnen besuchten Webseiten melden. Und wenn Sie eine Website betreiben, die auf Marketing- oder Analysetools von Drittanbietern angewiesen ist, überwachen Sie diese Integrationen genau und seien Sie bereit, sie schnell zu trennen, falls ein Anbieter einen Sicherheitsverstoß offenlegt. Vorfälle wie der Brevo-Hack sind eine Erinnerung daran, dass Wachsamkeit nicht an der eigenen Haustür enden sollte. Sie muss sich auf jeden Anbieter und jedes Skript erstrecken, das die Websites berührt, die Sie täglich nutzen.