Adform-Skript kompromittiert: Malware über unzählige Webseiten verbreitet

Sicherheitslücke bei Adtech-Dienstleister Adform

Ein schwerwiegender Sicherheitsvorfall beim europäischen Adtech-Unternehmen Adform hat für Aufsehen in der IT-Sicherheitsbranche gesorgt. Unbekannten Angreifern gelang es, Schadcode direkt in ein Skript des Anbieters einzuschleusen. Da Adform-Dienste auf einer Vielzahl von Webseiten weltweit eingebunden sind, wurde die Malware über diesen Kanal an eine große Anzahl von Besuchern ausgespielt.

Der Vorfall wurde erstmals durch den Sicherheitsforscher Kevin Beaumont öffentlich gemacht, der Ende Juli auf die Aktivitäten aufmerksam wurde. Die Schadsoftware zielte gezielt auf Nutzer von Kryptowährungen wie Bitcoin, Ethereum und Tron ab.

Funktionsweise des Krypto-Stealers

Bei der eingeschleusten Malware handelt es sich um einen sogenannten Krypto-Stealer. Dieser agiert im Hintergrund, während der Nutzer eine infizierte Webseite besucht. Die Funktionsweise ist dabei perfide und zielt auf die typische Arbeitsweise bei Krypto-Transaktionen ab:

* **Überwachung der Zwischenablage:** Die Malware scannt alle drei Sekunden den Inhalt der Zwischenablage des Nutzers.

* **Manipulation von Adressen:** Erkennt das Skript eine gültige Wallet-Adresse, wird diese in Echtzeit durch eine Adresse des Angreifers ersetzt.

* **Diebstahl der Transaktion:** Wenn der Nutzer die manipulierte Adresse in sein Wallet-Programm oder eine Handelsplattform einfügt, schickt er seine Kryptowährungen unwissentlich an den Angreifer statt an das beabsichtigte Ziel.

Zusätzlich zu dieser Manipulation sammelte die Malware Informationen über die besuchten Webseiten sowie die IP-Adressen der betroffenen Anwender und übermittelte diese Daten an die Server der Hintermänner.

Umfang und Reichweite des Angriffs

Die potenzielle Angriffsfläche ist immens. Adform gibt an, weltweit rund 14.000 Unternehmen als Kunden zu betreuen. Auf der Partnerliste des Unternehmens finden sich namhafte Medienhäuser und Streaming-Dienste wie Spotify, Disney+, Sky, Eurosport, Paramount+ und CNN. Obwohl Adform keine konkreten Zahlen zur Anzahl der betroffenen Nutzer nannte, ist aufgrund der Reichweite dieser Partner von einer hohen Dunkelziffer auszugehen.

Adform selbst informierte nach eigenen Angaben bereits am 27. Juli über die Entdeckung verdächtiger Aktivitäten und leitete umgehend Gegenmaßnahmen ein. Der Schadcode wurde inzwischen aus dem Skript entfernt. Das Unternehmen betont, dass die Malware keine Persistenz auf den Endgeräten der Nutzer aufbaute und keine zusätzliche Software installierte; die Aktivität war demnach auf die Dauer des Webseitenbesuchs beschränkt.

Empfehlungen für Nutzer und Ausblick

Obwohl die Dienste laut Adform wieder sicher genutzt werden können, sollten Anwender Vorsichtsmaßnahmen treffen. Um sicherzustellen, dass keine Reste des manipulierten Skripts im lokalen Browser-Cache verbleiben, empfiehlt der Anbieter das Leeren des Caches.

Für Krypto-Nutzer gilt zudem eine allgemeine Sicherheitsregel, die durch diesen Vorfall weiter an Bedeutung gewinnt: Überprüfen Sie bei Transaktionen stets die eingefügte Wallet-Adresse im Zielformular. Ein Abgleich der ersten und letzten Zeichen der Adresse kann bereits verhindern, dass Vermögenswerte an unbefugte Dritte gelangen.

Die Untersuchungen zu dem Vorfall dauern nach Angaben von Adform noch an. Das Unternehmen hat nach eigenen Aussagen sowohl seine Kunden als auch die zuständigen Behörden über den Vorfall in Kenntnis gesetzt. Der Vorfall unterstreicht die Risiken, die von kompromittierten Drittanbieter-Skripten in der modernen Web-Architektur ausgehen.