Tausende Regierungs- und Universitäts-Webseiten mit Krypto-Miner infiziert

Am Sonntag haben Tausende Websites weltweit, darunter auch Seiten der britischen und der US-Regierung, ohne Wissen der jeweiligen Betreiber die Browser ihrer Besucher benutzt, um die Kryptowährung Monero zu schürfen. Unbekannten ist es offenbar gelungen, den Code des Krypto-Miners Coinhive in ein weit verbreitetes Plug-in einzuschleusen, dass Webseiteninhalte vorliest und für Menschen mit eingeschränktem Sehvermögen gedacht ist.

Wie The Register berichtet, verwendeten die rund 4200 betroffenen Seiten, darunter der Internetauftritt des britischen Gesundheitssystems NHS, der Datenschutzbehörde ICO und des Gerichtssystems der US-Regierung, das Plug-in Browsealoud des britischen Anbieters Texthelp. Wie es Hackern oder Cyberkriminellen gelungen ist, den Quellcode des Plug-ins zu manipulieren, ist nicht bekannt.

Das Plug-in führte jedoch dazu, dass am Sonntag jeder Besucher einer betroffenen Website den versteckten Mining-Code unbeabsichtigt ausführte – auch ohne, dass das Plug-in angeklickt wurde. Unter anderem sollten Besucher der Seiten der City University of New York, der schwedischen Lund University und der irischen Hauptstadt Dublin eine erhöhte CPU-Auslastung festgestellt haben. Auch Angebote aus Deutschland nutzten zumindest vorübergehend eine manipulierte Version des Browsealoud-Plug-ins.

Der Schadcode wurde dem Bericht zufolge am Sonntag zwischen 5 und 13.45 Uhr zum Code von Browsealoud hinzugefügt. Entdeckt wurde er vom britischen Sicherheitsexperten Scott Helme. Ein Sprecher des Plug-in-Anbieters Texthelp bestätigte indes, dass der fragliche Browsealoud-Code gegen 18 Uhr entfernt wurde. Die Untersuchung des Vorfalls dauere noch an.

“Angesichts der jüngsten Cyberattacken weltweit hatten wir uns auf einen solchen Vorfall vorbereitet und unser Sicherheitsplan wurde sofort umgesetzt”, sagte Martin McKay, Chief Technology Officer von Texthelp. Kontinuierliche automatische Sicherheitstests für Browsealoud hätten die veränderte Datei entdeckt und das Produkt von Netz genommen. Es seien auch keine Kundendaten kompromittiert worden.

Helme ergänzte, dass Plug-ins oder anderer Code von Drittanbietern ein beliebtes Angriffsziel von Hackern seien, um Schadcode in legitime Websites einzuschleusen. Webmastern empfiehlt er den Einsatz einer Subresource Integrity (SRI) genannten Technik, die per Fingerprinting verhindern soll, dass speziell präparierter JavaScript-Code auf diese Art in Websites eingeschleust wird. “Drittanbieter wie dieser sind wirklich ein Hauptziel und zwar schon seit einiger Zeit”, sagte Helme. “Es gibt eine Technik namens SRI, die entwickelt wurde, um genau dieses Problem zu lösen, und unglücklicherweise scheint es so, als hätte es keine der betroffenen Websites benutzt.”

Tipp: Wie gut kennen Sie die Geschichte der Computer-Viren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.