WordPress-Hintertür-Operation durch offenen Server aufgedeckt

Eine Cyberkriminellen-Gruppe, die versteckte Hintertüren auf WordPress- und Joomla-Websites installierte, ließ einen ihrer eigenen Server 22 Tage lang ungeschützt im Internet offen, wodurch die Tools, Ziellisten und Aktivitätsprotokolle hinter einer massenhaften Website-Hacking-Operation offengelegt wurden. Forscher von SOCRadar und Ctrl-Alt-Intel analysierten unabhängig voneinander denselben exponierten Ordner, und ihre Berichte zeigen, wie die Gruppe, die jetzt als WP-SHELLSTORM verfolgt wird, einen Webshell-Zugangsbroker betrieb: Sie drang massenhaft in Websites ein, installierte auf jeder eine versteckte Webshell und verkaufte diesen Zugang weiter.

Der exponierte Server war eine gemietete Maschine an der IP-Adresse 137.175.93[.]126 in den Vereinigten Staaten. Das Threat-Intelligence-Team von SOCRadar entdeckte ihn am 11. Juni 2026 und fand etwa 800 Megabyte in 434 Dateien, darunter Webshells, Exploit-Skripte, Scan-Ergebnisse, die getippte Befehlshistorie des Betreibers und Command-and-Control-Einstellungen. Ctrl-Alt-Intel hatte dasselbe Verzeichnis bereits analysiert, nachdem es es auf der Open-Directory-Plattform von Hunt.io gefunden hatte, und veröffentlichte seine Ergebnisse am 22. Juni, Wochen vor SOCRadars Bericht vom 9. Juli. Die Exposition entstand durch einen einfachen Fehler: Der Betreiber startete einen einfachen Python-Webserver, um Dateien zu verschieben, und ließ ihn 22 Tage lang ohne Passwortschutz laufen.

Die Methode der Gruppe war nicht ausgefeilt. Sie nutzte öffentlich bekannte Schwachstellen in Website-Plugins, die meisten davon WordPress-Plugins, und baute automatisierte Scanner, um diese Exploits auf riesige Ziellisten abzufeuern, die von FOFA stammten, einer chinesischen Suchmaschine für internetverbundene Systeme ähnlich wie Shodan. Wenn eine Website eine anfällige Version ausführte, konnte der Exploit eine Webshell hochladen, ein kleines Skript, mit dem ein Angreifer Befehle auf dem Server ausführen, Dateien lesen, Passwörter stehlen und tiefer in das Netzwerk eindringen kann. Das Toolkit deckte 27 bekannte Schwachstellen ab, aber eine Handvoll erledigte den Großteil der Arbeit. Der größte Produzent war ein Fehler im Breeze-Caching-Plugin für WordPress, der als CVE-2026-3844 verfolgt wird. Die Gruppe richtete ihn auf mehr als 45.000 Ziele und hintertürte nach eigener Zählung über 17.000 davon. Dieser Fehler funktioniert nur, wenn eine nicht standardmäßige Einstellung namens "Host Files Locally - Gravatars" aktiviert ist, sodass die meisten Breeze-Installationen nie exponiert waren.

Die Schlagzeilen-Zahlen der Ziele brauchen eine Einschränkung. Die Zahl 1,4 Millionen ist die Anzahl der Domains auf den Ziellisten, nicht die Anzahl der gehackten Websites, und diese Listen umfassten WordPress, Joomla und andere Plattformen. Die größte einzelne Datei enthielt 587.034 Joomla-Ziele. Die tatsächlich kompromittierte Zahl war weitaus geringer, und die beiden Forschungsteams maßen sie unterschiedlich. Die deduplizierte Zählung von Ctrl-Alt-Intel ergab 25.195 Websites mit bestätigten oder validierten Kompromittierungsnachweisen, während SOCRadar, das aktive Webshells zählte, die Live-Zahl auf über 5.700 schätzte. Eine Schwachstelle zeigt die Lücke deutlich: Ein Joomla-Fehler wurde auf mehr als 560.000 Ziele abgefeuert, landete aber nur auf 77 davon. Auf jemandes Scan-Liste zu stehen ist nicht dasselbe wie gehackt zu werden.

Die Haupt-Hintertür war eine Datei namens down.php, stark obfuskiert mit vier Schutzschichten und offenbar abgeleitet von einer Open-Source-chinesischen Webshell namens BestShell. Einmal ausgeführt, konnte sie Dateien verwalten, Befehle ausführen, Reverse Shells öffnen, das lokale Netzwerk scannen und prüfen, welche Sicherheitssoftware auf dem Host lief. Für den eigenen Fernzugriff der Gruppe installierte ein SNOWLIGHT-Dropper VShell, eine stealthy Hintertür, die ihren Prozessnamen als [kworker/0:2] tarnt und Kernel-Threads nachahmt, um in einer Prozessliste unterzutauchen. Im April 2025 verband Sysdig diese SNOWLIGHT-zu-VShell-Kette mit der vermuteten chinesischen Staatengruppe UNC5174, aber VShell ist ein gängiges Tool in chinesischsprachigen kriminellen Kreisen, sodass seine Anwesenheit allein nicht auf einen staatlichen Akteur hindeutet.

Der Server enthielt auch Spuren einer früheren, leiseren Kampagne. SOCRadar fand heraus, dass Anfang Mai 2026, vor dem lauten WordPress-Feldzug, dieselbe Gruppe auf Unternehmens-Java-Systeme abzielte. Sie zog 613 Konfigurationsdateien von 11 Systemen bei neun Unternehmen in den Bereichen Fintech, E-Commerce, Logistik, Gaming und Elektronik. Die gestohlenen Daten umfassten Cloud-Login-Schlüssel für AWS, Alibaba Cloud, die Cloud eines großen Unternehmenssoftware-Anbieters, Tencent und DigitalOcean, Datenbankpasswörter und Alipay-RSA-Private-Keys. Diese Kampagne nutzte CVE-2021-29441, eine alte und bekannte Schwachstelle in Nacos, einem Konfigurationsserver, die es einem Angreifer ermöglicht, die Anmeldung zu überspringen, indem er einen einzigen Web-Header fälscht. SOCRadar interpretiert den Zeitpunkt als Abfolge: zuerst hochwertige Unternehmens-Anmeldeinformationen schnappen, dann Wochen später auf volumenreichere Hintertür-Arbeit umschwenken, eine Finanzierungsrunde vor dem Hochskalieren.

Beide Forschungsteams schätzen mit mittlerer bis hoher Konfidenz, dass der Betreiber Chinese oder chinesischsprachig ist. Sie verweisen auf fließendes vereinfachtes Chinesisch im gesamten Code und in der Befehlshistorie, die Abhängigkeit von FOFA, das laut den Forschern eine chinesische Telefonnummer zur Registrierung erfordert, und Tools wie Godzilla und VShell, die in chinesischsprachigen Foren bevorzugt werden. SOCRadar geht weiter und liest die Gruppe als finanziell motiviert statt staatlich gelenkt. Namen, die in den Dateien gefunden wurden, tance, chen-kk und chenyk, werden als lose Hinweise und nicht als Beweis behandelt. Ein loses Ende sticht hervor: Eine einzelne IP-Adresse in Taiwan stellte mehr als 42.000 Anfragen zum Herunterladen der eigenen Tools der Gruppe. Es könnte ein zweiter Betreiber, ein Kunde oder ein anderer Forscher sein; die Logs können das nicht klären. Für eine Gruppe mit einer fähigen Toolchain war die Crew nachlässig. Sie ließ den Server offen, ließ eine FOFA-Konfigurationsdatei zurück, die FOFA über seinen Strafverfolgungskanal zurückverfolgen kann, und ließ eine uneditierte Befehlshistorie zurück, die die gesamte Operation offenlegte. Als sie schließlich bemerkte, dass sie entdeckt worden war, irgendwann zwischen dem 2. und 4. Juli, löschte sie eine Reihe von Logzeilen, drei Wochen zu spät. Der Fehler ist bekannt: Im März 2026 erwischte dieselbe Forschungsgruppe Russlands Fancy Bear, auch bekannt als APT28, auf die gleiche Weise, als ein vergessenes offenes Verzeichnis die Phishing-Tools und Logs der Gruppe in einer Kampagne preisgab, die Hunt.io Operation Roundish nannte.

Was sollten Website-Betreiber jetzt tun? Wenn Sie eine der Zielsoftware betreiben, überprüfen Sie sie heute. Dies sind keine obskuren Fehler: Wordfence verfolgte diesen Frühling Zehntausende blockierter Angriffe gegen die Everest Forms Pro-Schwachstelle, CVE-2026-3300, und der Joomla JCE-Editor-Fehler, CVE-2026-48907, ist eine Schwachstelle mit maximaler Schwere, die CISA in seine Liste der bekannten ausgenutzten Schwachstellen aufgenommen hat. Patchen Sie Breeze auf Version 2.4.5 oder später, wenn die nicht standardmäßige Einstellung "Host Files Locally - Gravatars" aktiviert ist; sie produzierte hier die meisten Hintertüren. Behandeln Sie den Joomla JCE-Fehler, behoben in Version 2.9.99.5, als dringend, da er maximale Schwere hat und aktiv ausgenutzt wird, obwohl er in dieser Kampagne kaum landete. Überprüfen Sie auch andere Plugins mit bekannten Fehlern: ThemeREX Addons (CVE-2026-1969), Simple File List (CVE-2020-36847; die gültige ID, nicht die jetzt abgelehnte CVE-2025-34085), Custom CSS JS PHP (CVE-2026-6433), BerqWP (CVE-2025-7443), Ninja Forms Uploads (CVE-2026-0740), WavePlayer (CVE-2025-12057), WPBookit (CVE-2025-7852) und WP File Manager (CVE-2020-25213). Für Nacos: Aktualisieren Sie auf Version 2.2.1 oder später und aktivieren Sie die Authentifizierung mit der Einstellung nacos.core.auth.enabled=true; wenn Ihre Instanz jemals exponiert war, rotieren Sie alle Anmeldeinformationen, die darin lebten. Für XXL-Job und Spring Boot: Schließen Sie nicht authentifizierte Executor-Endpunkte und deaktivieren Sie /actuator/heapdump in der Produktion. Suchen Sie nach den Hintertüren, indem Sie nach den Webshell-Dateinamenmustern der Gruppe suchen, wie .bd.php, .wp-log.php und .brq-*.php, und prüfen Sie dann jeden Prozess namens [kworker/X:Y]. Ein echter Kernel-Thread führt kein eigenes Programm aus, daher zeigt sein /proc//exe auf nichts; ein [kworker] mit einer Kommandozeile oder Netzwerk-Sockets ist ein Betrüger. Blockieren Sie die bekannte Infrastruktur: 137.175.93[.]126, 43.108.17[.]80 und die Domain xs.xxooonline[.]eu[.]cc.

Für Website-Betreiber bietet AEU Hosting managed WordPress-Hosting an, das Ende-zu-Ende abgesichert ist, was helfen kann, Plugins aktuell zu halten und die Exposition gegenüber solchen Fehlern zu verringern, aber es kann eine Post-Incident-Prüfung auf Hintertüren, die möglicherweise bereits auf einer Website sind, nicht ersetzen. Die WP-SHELLSTORM-Operation ist nicht wichtig, weil sie fortgeschritten ist, sondern weil sie gewöhnlich ist. Öffentliche Exploits, automatisiertes Scannen und eine Zielliste mit einer Million Zeilen reichten aus, um Websites massenhaft zu kompromittieren, ohne dass ein Zero-Day erforderlich war. Die Details sind nur öffentlich, weil die Gruppe vergessen hat, ihren eigenen Server zu schließen.