Wie ein einzelnes Tracking-Skript Krypto-Zahlungen im gesamten Web umleitete

Ad-Technologie ist die dunkle Materie des modernen Internets. Sie ist für den durchschnittlichen Nutzer unsichtbar, übt jedoch einen massiven Einfluss darauf aus, wie Daten durch das Web fließen. Wenn diese unsichtbare Ebene versagt, skaliert die Auswirkung sofort über Tausende von nicht zusammenhängenden Websites hinweg. Am 27. Juli 2026 entdeckte Adform, dass eines seiner primären Tracking-Skripte gegen seine Nutzer gerichtet worden war. Eine Supply-Chain-Kompromittierung ermöglichte es Angreifern, bösartigen Code in eine weit verbreitete JavaScript-Datei einzuschleusen und sie in ein Werkzeug zu verwandeln, das Kryptowährungs-Wallet-Adressen in Echtzeit umschreibt.

Ich habe den Vormittag damit verbracht, die erfassten Proben des bösartigen Skripts zu analysieren. Die Kompromittierung zielt auf trackpoint-async.js ab, eine Datei, die von der Infrastruktur von Adform bereitgestellt wird. Da dieses Skript in die Header von etwa 1.800 Kundenseiten integriert ist, um Werbeanalysen zu ermöglichen, mussten die Angreifer diese einzelnen Unternehmen nicht hacken. Sie haben einfach den Brunnen vergiftet. Sobald das manipulierte Skript im Browser eines Besuchers geladen wurde, begann es, das Document Object Model nach spezifischen Mustern zu überwachen, die wie Bitcoin-, Ethereum- oder Tron-Adressen aussehen.

Das unsichtbare Risiko von Drittanbieter-Abhängigkeiten

Die moderne Web-Architektur beruht auf dem impliziten Vertrauen in Ressourcen von Drittanbietern. Wenn ein Entwickler eine Codezeile hinzufügt, um ein Skript von einem globalen Anbieter aufzurufen, gewährt er diesem Anbieter erhebliche Kontrolle über das Nutzererlebnis. Dieser Vorfall ist ein Lehrbuchbeispiel für einen Supply-Chain-Angriff, bei dem die Vertrauensbeziehung ausgenutzt wird. Das fragliche Skript, trackpoint-async.js, ist darauf ausgelegt, über ganze Websites oder spezifische Abschnitte hinweg zu laufen. In diesem Fall hängten die Angreifer zwei bösartige Codeblöcke an das Ende der legitimen Bibliothek an.

Aus Risikoperspektive ist dies ein Albtraumszenario für jeden Website-Administrator. Man kann eine perfekte Sicherheitslage, einen gehärteten Server und einen strengen internen Code-Review-Prozess haben, und dennoch kann ein einzelnes externes Skript die eigenen Nutzer gefährden. Die Angreifer umgingen den Netzwerk-Perimeter durch eine Seitentür, die für Marketing- und Analyse-Tools fast immer offen steht. Dies zeigt, warum das Konzept eines Netzwerk-Perimeters ein veralteter Burggraben ist. Wenn Sie zulassen, dass externe Skripte mit hohen Privilegien auf Ihrer Seite ausgeführt werden, haben Sie effektiv einen Fremden eingeladen, Ihre Sicherheit zu verwalten.

Anatomie der Trackpoint-Kompromittierung

Die technische Analyse der bösartigen Blöcke offenbart eine gezielte Bemühung, Finanztransaktionen zu kapern. Der Code verwendet einen Sechs-Byte-XOR-Schlüssel, um die Ersatz-Wallet-Adressen zu verschleiern – eine gängige Taktik, um einfache signaturbasierte Erkennungen zu umgehen. Sobald das Skript ausgeführt wird, initiiert es zwei verschiedene Angriffspfade. Der erste Block konzentriert sich auf die System-Zwischenablage. Er überwacht das Copy-Ereignis und versucht alle vier Sekunden, die Zwischenablage zu lesen. Wenn er eine Zeichenfolge identifiziert, die einem Kryptowährungs-Wallet-Muster entspricht, ersetzt er diese Zeichenfolge durch eine Wallet-Adresse, die dem Angreifer gehört.

Hinter den Kulissen ist der zweite Codeblock sogar noch invasiver. Er durchläuft die Textknoten des Dokuments und überwacht jedes Eingabefeld, Textarea- und Contenteditable-Element. Wenn ein Nutzer eine Adresse in ein Formularfeld eintippt oder einfügt, fängt das Skript das Ereignis ab und schreibt den Wert um. Es geht sogar so weit, die Cursor-Position nach dem Umschreiben wiederherzustellen, um sicherzustellen, dass der Nutzer die Verschiebung nicht bemerkt. Diese Ebene der granularen Manipulation stellt sicher, dass selbst wenn ein Nutzer die Zwischenablage umgeht, indem er eine Adresse manuell eintippt, die Transaktion anfällig für eine Umleitung bleibt.

Die Zwischenablage ist eine umkämpfte Umgebung

Der unabhängige Forscher Kevin Beaumont bemerkte eine besonders aggressive Eigenschaft dieser Malware. Selbst wenn ein Nutzer bemerkt, dass die Adresse falsch ist, und versucht, die ursprüngliche Wallet-Adresse erneut zu kopieren, fährt das Skript fort, sie zu ersetzen. Diese Persistenz macht die Browserumgebung selbst vertrauensunwürdig. Im Falle einer solchen Sicherheitsverletzung wird der Browser zu einem bösartigen Agenten, der gegen die Interessen des Nutzers handelt.

Aus der Sicht des Endnutzers verläuft der Angriff fast völlig lautlos. Es gibt keine Pop-ups, keine Verlangsamungen und keine offensichtlichen Anzeichen für eine Systeminfektion. Die Malware versucht nicht, Software zu installieren oder eine Persistenz auf der Festplatte zu etablieren. Sie existiert nur im flüchtigen Speicher des Browser-Tabs. Sobald der Nutzer die betroffene Seite schließt, endet der bösartige Prozess. Der Schaden entsteht jedoch in den Sekunden, die es dauert, auf einen Senden-Button zu klicken. Eine einzige geänderte Adresse zum Zeitpunkt der Zahlung reicht aus, um Tausende von Dollar in einer Weise umzuleiten, die auf einer dezentralen Blockchain funktionell unumkehrbar ist.

Abgleich des Zeitplan-Konflikts

Es gibt eine Diskrepanz zwischen dem offiziellen Vorfallsbericht und unabhängigen Beobachtungen. Adform identifiziert den 27. Juli als das Datum des Vorfalls und gibt an, den Code umgehend entfernt zu haben. Kevin Beaumont berichtete, dass er bereits mindestens eine Woche vor diesem Datum bösartige Aktivitäten über Adform beobachtet habe. Diese Zeitlücke ist ein erhebliches Problem für die Risikobewertung. Wenn das Skript sieben Tage statt eines Tages aktiv war, erhöht sich die Zahl der exponierten Besucher um Größenordnungen. Adform liefert täglich etwa 1,5 Milliarden Anzeigen in 180 Ländern aus. Selbst wenn nur ein kleiner Bruchteil dieser Anzeigen die bösartige Nutzlast trug, ist der potenzielle Opferpool enorm.

Als Gegenmaßnahme hat Adform allen Nutzern geraten, ihren Browser-Cache zu leeren. Dies ist ein lebenswichtiger Schritt, da die bösartige Version von trackpoint-async.js auch nach der serverseitigen Behebung lokal auf dem Computer eines Nutzers gespeichert bleiben kann. Wenn der Browser die zwischengespeicherte Version des Skripts lädt, bleibt der Angriff aktiv. Dies unterstreicht eine anhaltende Schwachstelle in der Websicherheit, bei der die Langlebigkeit eines Caches das Leben einer Sicherheitsbedrohung weit über die Bereitstellung eines Patches hinaus verlängern kann.

Bewertung der Exfiltrationsmöglichkeiten

Einer der besorgniserregenderen Aspekte des Codes ist seine Kommunikation mit einem externen Server. Das Skript versucht beim Laden der Seite, eine HTTP-Anfrage an eine IP-Adresse (84.32.102[.]230) zu senden. Diese Anfrage enthält den Hostnamen und den spezifischen Pfad der Seite, die der Besucher gerade betrachtet. Adform erklärte, dass sie keine Beweise dafür gefunden haben, dass IP-Adressen oder der Browserverlauf der Besucher die Angreifer erreicht haben. Der Vorfallshinweis räumt jedoch ein, dass eine solche Übertragung basierend auf der Konstruktion des Codes technisch möglich war.

In meiner Erfahrung mit der Analyse von APTs und Supply-Chain-Verletzungen bauen Angreifer selten Datenexfiltrationsfunktionen ein, ohne die Absicht, sie zu nutzen. Die Hostnamen- und Pfaddaten liefern den Betreibern eine Live-Karte darüber, welche Seiten ihre Malware erfolgreich ausliefern. Dies hilft ihnen, ihre Ziele zu priorisieren und die Wirksamkeit ihrer Kompromittierung zu messen. Proaktiv gesehen müssen wir davon ausgehen, dass alle Daten, auf die das Skript zugreifen konnte, potenziell vom Command-and-Control-Server des Angreifers aufgezeichnet wurden.

Abwehrmaßnahmen für das moderne Web

Dieser Vorfall dient als deutliche Erinnerung daran, dass Drittanbieter-Skripte ein Hauptvektor für systemische Risiken sind. Um sich dagegen zu verteidigen, müssen Organisationen zu einem granularen Sicherheitsmodell übergehen. Die Verwendung von Subresource Integrity (SRI) Hashes ist eine primäre Verteidigung. SRI ermöglicht es einem Browser zu verifizieren, dass ein abgerufenes Skript nicht manipuliert wurde. Wenn der Hash der Datei auf dem Server nicht mit dem im Code der Website definierten Hash übereinstimmt, verweigert der Browser die Ausführung. Hätten die Kunden von Adform SRI für trackpoint-async.js implementiert, wäre die bösartige Version automatisch blockiert worden.

Eine weitere kritische Verteidigung ist die Content Security Policy (CSP). Eine gut konfigurierte CSP kann die Domänen einschränken, von denen Skripte geladen werden können, und verhindern, dass sie Daten an nicht autorisierte externe IP-Adressen senden. Wäre eine CSP vorhanden gewesen, die Verbindungen zur IP-Adresse des Angreifers explizit blockiert hätte, wäre der Datenexfiltrationsversuch gescheitert. Sicherheit ist kein einzelnes Werkzeug, sondern eine Reihe von überlappenden Schichten. Wenn eine Schicht kompromittiert wird, müssen die anderen bereit sein, den Fehler aufzufangen.

Letztendlich liegt die Verantwortung für die Überprüfung einer Transaktion beim Nutzer. Die effektivste Verteidigung in diesem speziellen Fall ist die einfachste: Verifizieren Sie die Zieladresse immer über einen zweiten Kanal oder indem Sie jedes Zeichen doppelt prüfen, bevor Sie auf Senden klicken. In einer Welt, in der sich genau der Code, den Sie zum Surfen im Web verwenden, gegen Sie wenden kann, ist eine gesunde Paranoia eine funktionale Anforderung an das digitale Leben.

Wichtige Erkenntnisse für IT-Führungskräfte

• Überprüfen Sie alle Drittanbieter-Skripte, die derzeit in Ihren Produktionsumgebungen laufen, und entfernen Sie alle, die nicht geschäftskritisch sind.
• Implementieren Sie Subresource Integrity Hashes für alle externen JavaScript-Abhängigkeiten, um die Ausführung von nicht autorisiertem Code zu verhindern.
• Stärken Sie die Content Security Policies, um die Skriptausführung und Datenexfiltration auf bekannte, vertrauenswürdige Domänen zu beschränken.
• Erzwingen Sie einen Zero-Trust-Ansatz für clientseitige Ressourcen, indem Sie davon ausgehen, dass jede externe Abhängigkeit an der Quelle kompromittiert werden kann.

Quellen

• Adform Incident Notice (Juli 2026)
• MITRE ATT&CK Framework: Supply Chain Compromise (T1195)
• NIST Special Publication 800-161: Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations

Haftungsausschluss: Dieser Artikel dient nur zu Informations- und Bildungszwecken und ersetzt keine professionelle Cybersicherheitsprüfung oder einen Vorfallreaktionsdienst.