ShadowCaptcha: Neue Bedrohung für WordPress-Websites

TEL AVIV / LONDON (IT BOLTWISE) – Eine neue großangelegte Cyberkampagne namens ShadowCaptcha nutzt über 100 kompromittierte WordPress-Websites, um Besucher auf gefälschte CAPTCHA-Seiten umzuleiten. Diese Seiten verwenden Social-Engineering-Techniken, um Informationen zu stehlen, Ransomware zu verbreiten und Kryptowährungs-Miner zu installieren.

Die jüngste Entdeckung einer großangelegten Cyberkampagne, die als ShadowCaptcha bekannt ist, hat die Sicherheitsgemeinschaft alarmiert. Diese Kampagne nutzt über 100 kompromittierte WordPress-Websites, um ahnungslose Besucher auf gefälschte CAPTCHA-Seiten umzuleiten. Diese Seiten sind darauf ausgelegt, Informationen zu stehlen, Ransomware zu verbreiten und Kryptowährungs-Miner zu installieren. Die Israel National Digital Agency hat diese Bedrohung erstmals im August 2025 identifiziert.

ShadowCaptcha kombiniert Social-Engineering-Techniken mit sogenannten Living-off-the-Land-Binaries (LOLBins) und einer mehrstufigen Payload-Strategie, um sich Zugang zu den Zielsystemen zu verschaffen und dort zu verbleiben. Die Hauptziele dieser Kampagne sind das Sammeln sensibler Informationen durch das Abgreifen von Anmeldedaten und das Exfiltrieren von Browserdaten, das Einsetzen von Kryptowährungs-Minern zur illegalen Profitgenerierung und das Auslösen von Ransomware-Angriffen.

Die Angriffe beginnen, wenn Nutzer eine kompromittierte WordPress-Website besuchen, die mit schädlichem JavaScript-Code infiziert wurde. Dieser Code leitet die Nutzer auf eine gefälschte Cloudflare- oder Google-CAPTCHA-Seite um. Ab diesem Punkt teilt sich die Angriffskette in zwei Wege: Einer nutzt den Windows-Ausführen-Dialog, während der andere das Speichern einer Seite als HTML-Anwendung (HTA) und deren Ausführung über mshta.exe anleitet.

Die Ausführung über den Windows-Ausführen-Dialog endet mit der Installation von Lumma- und Rhadamanthys-Stealern über MSI-Installer, die mit msiexec.exe gestartet werden, oder durch remote gehostete HTA-Dateien, die mit mshta.exe ausgeführt werden. Die Ausführung der gespeicherten HTA-Payload führt zur Installation der Epsilon Red Ransomware. Bemerkenswert ist, dass die Verwendung von ClickFix-Lockmitteln zur Verbreitung von Epsilon Red Ransomware bereits im Vormonat von CloudSEK dokumentiert wurde.

Die Angriffe zeichnen sich durch den Einsatz von Anti-Debugging-Techniken aus, um die Inspektion der Webseiten mit Entwicklerwerkzeugen zu verhindern, und durch die Verwendung von DLL-Side-Loading, um schädlichen Code unter dem Deckmantel legitimer Prozesse auszuführen. Einige ShadowCaptcha-Kampagnen liefern einen auf XMRig basierenden Kryptowährungs-Miner aus, wobei einige Varianten die Mining-Konfiguration von einer Pastebin-URL abrufen, anstatt sie im Malware-Code fest zu verankern, was eine flexible Anpassung der Parameter ermöglicht.

Um die Risiken durch ShadowCaptcha zu minimieren, ist es wichtig, Nutzer für ClickFix-Kampagnen zu sensibilisieren, Netzwerke zu segmentieren, um seitliche Bewegungen zu verhindern, und WordPress-Websites durch regelmäßige Updates und Multi-Faktor-Authentifizierung (MFA) zu sichern. ShadowCaptcha zeigt, wie sich Social-Engineering-Angriffe zu umfassenden Cyberoperationen entwickelt haben, indem sie Nutzer dazu verleiten, integrierte Windows-Tools auszuführen und verschleierte Skripte sowie anfällige Treiber zu nutzen, um unauffällige Persistenz zu erreichen und zwischen Datendiebstahl, Kryptomining oder Ransomware zu wechseln.

Bestseller Nr. 1 - «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

29,99 EUR

Bestseller Nr. 2 - «KI Gadgets»

Mobvoi TicNote KI Digitales Diktiergerät, 64 GB Speicher, Notizrekorder mit Hülle, App-Steuerung, über 100 Sprachen, Transkribieren, Zusammenfassen mit AI Shadow,digitaler Audiorekorder Sprachrekorder

169,99 EUR

Bestseller Nr. 3 - «KI Gadgets»

PLAUD Note KI Digitales Diktiergerät mit Hülle - 64 GB Aufnahmegerät mit KI-Technologie zum Transkribieren und Zusammenfassen, One-Touch-Aufnahme, Rauschunterdrückung, Unterstützt 112 Sprachen

169,90 EUR

Bestseller Nr. 4 - «KI Gadgets»

KI-Sprachrekorder, PLAUD NotePin Sprachrekorder, App-Steuerung, KI-Notizgerät, KI-Transkription & Zusammenfassung, 112 Sprachen, 64GB Speicher, Audiorekorder für Vorlesungen, Meetings, Kosmisches Grau

169,90 EUR

Bestseller Nr. 5 - «KI Gadgets»

SOXOI KI Digitales Diktiergerät, 64GB Magnet Mini Aufnahmegerä mit ChatGPT 4o vom Transkribieren und Zusammenfassen für 102 Sprachen,One Touch Aufnahme, Voice Recorder Sprachrecorder (Schwarz)

64,59 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!