Statcounter: Schadcode in Webseite hijackt Krypto-Börse

Da haben ein paar findige Köpfe 'über Bande gespielt'. Hacker haben die Website von Statcounter kompromittiert und ein Script zum SchürfenKlauen von Krypto-Geld auf der Seite als Tracker hinterlegt. Ziel war es, Benutzer der Krypto-Börse Gate.io beim Besuch der Seite zu identifizieren und deren Krypto-Geld zu stehlen. Hier einige Informationen zum StatCounter-Hack.

Statcounter ist eine der größten Webanalyseplattformen im Internet. Ich ziehe deren Daten beispielsweise heran, wenn ich über die Versionsverteilung von Desktop-Betriebssystemen berichte (siehe Windows Verteilung Ende August 2018). Das Tracker-Script von Statcounter wird auf vielen Unternehmensseiten für Statistikzwecke eingebunden. Auch die Krypto-Börse Gate.io scheint das wohl so gemacht zu haben. Hackt man den Statcounter-Tracker, bekommt man sofort Zugriff auf die Webseitenbesucher aller Firmen, die diesen Tracker einsetzen.

ESET entdeckt den Statcounter-Hack

Entdeckt wurde der Hack von Matthieu Faou, einem Sicherheitsspezialisten bei ESET. Vor einigen Stunden ist der nachfolgende Tweet im offiziellen ESET-Channel auf Twitter gepostet worden.

Attackers breached Statcounter to steal cryptocurrency from https://t.co/GyDHxcLzXe  users – https://t.co/tTvY7KaebA  – @gate_io @matthieu_faou @ESET pic.twitter.com/zceKPDViQh

— Help Net Security (@helpnetsecurity) 7. November 2018

Gemäß diesem ESET-Blog-Beitrag sind sowohl das Webanalyse-Unternehmen Statcounter als auch die Kryptowährungs-Börse gate.io durch den Hack betroffen. Denn der Hack führte dazu, dass einer unbekannten Anzahl von gate.io-Kunden ihr Kryptogeld gestohlen wurde.

Bei Statcounter wurde dazu bösartiger Code in das Haupt-Site-Tracking-Skript des Unternehmens eingefügt. Laut Matthieu Faou, dem ESET-Malware-Forscher, der den Hack entdeckt hat, führt dieser bösartige Code ein Hijacking aller Bitcoin-Transaktionen aus, die über die Weboberfläche der Gate.io Kryptowährungs-Börse getätigt werden.

ZDnet.com, die in diesem Artikel ebenfalls berichten, haben von Matthieu Faou erfahren, dass Statcounter auf Anfragen nicht reagiert habe. "Wir haben uns mit [StatCounter] in Verbindung gesetzt, aber sie haben noch nicht geantwortet", schriebt Faou in einer E-Mail an ZDNet. Die JavaScript-Datei unter

www[.]statcounter[.] com /counter/counter/counter.js

war zu der Zeit, als der ZDNet-Artikel erschient, immer noch kompromittiert. Inzwischen bekomme ich aber einen Error 404. Die JavaScript-Datei war das zentrale Element zur Erfassung von Statistiken und wurde gemäß dieser Seite von 688.154 eingebunden.

Faou sagt gegenüber ZDNet, dass der bösartige Code erstmals am Wochenende, am Samstag, den 3. November, zu diesem StatCounter-Skript hinzugefügt wurde. Das einzige Ziel dieses bösartigen Code im Site-Tracking-Skript von StatCounter bestand darin, die Besucher der Webseite Gate.io zu identifizieren. Und sobald diese versuchten, Krypto-Geld auf der Börse zu handeln, diese Transaktionen abzufangen und das Guthaben umzuleiten. Weitere Details lassen sich bei ZDnet und im ESET-Blog nachlesen.