Hackers nutzen Schwachstelle in Ghost CMS, um 700 Websites mit ClickFix-Malware zu vergiften

Sicherheitslage und Risiko

Exploits von Hackern gegen Ghost CMS CVE-2026-26980 Die Schwachstelle, die im Zentrum dieser Kampagne steht, ist ein hochriskantes SQL-Injection-Fehler in Ghost CMS, der es nicht authentifizierten Angreifern ermöglicht, direkt auf die Datenbank zuzugreifen, einschließlich des Admin-API-Schlüssels.

Mit diesem Schlüssel können Angreifer die Ghost Admin API aufrufen, um Artikel im großen Stil stillschweigend zu überschreiben, ohne dass der Admin-Panel oder der Server direkt berührt werden muss.

CVE-2026-26980: Typ: SQL-Injection; Schweregrad: Hoch; Betroffener Komponente: Ghost CMS; Auswirkung: Extraktion des nicht authentifizierten Admin-API-Schlüssels, Massenänderung von Artikeln. Sobald der bösartige JavaScript-Lader installiert wurde, entwickelte sich der Angriff in vier Phasen. In der ersten Phase wurde der Lader am Ende der Artikel abgelegt.

Technischer Hintergrund

In der zweiten Phase wurden echte Besucher über ein Cloaking-Skript weitergeleitet, das Sicherheitsforscher und Bots aussortierte. In der dritten Phase wurde eine überzeugende gefälschte Cloudflare-Verifizierungsseite angezeigt, die Benutzer dazu täuschte, WIN+R zu drücken, einen Befehl einzufügen und Enter zu drücken.

In der vierten Phase wurde stillschweigend ein Datendiebstahl-Payload auf dem System des Opfers bereitgestellt und ausgeführt. ClickFix: Social Engineering und Payload-Lieferung Die gefälschte Verifizierungsseite ist der Grund dafür, dass diese Kampagne gegen normale Benutzer so effektiv ist.

Sie imitiert das weit verbreitete Cloudflare CAPTCHA-Interface bis hin zum visuellen Design und der Wortwahl. Wenn Benutzer auf „Verifizieren" klicken, kopieren sie unbewusst einen bösartigen Befehl in ihre Zwischenablage und führen ihn selbst aus, während sie glauben, lediglich zu beweisen, dass sie menschlich sind.

Die Payloads entwickelten sich im Verlauf

Die Payloads entwickelten sich im Verlauf der Kampagne weiter. Die frühen Versionen luden eine DLL namens installer.dll über einen öffentlichen CDN herunter und starteten sie stillschweigend mit rundll32. Ab dem 16.

Mai hatten die Angreifer auf einen Zero-Detection-Datendiebstahl-Trojaner namens UtilifySetup.exe umgestellt, der ein Electron-basiertes Framework zur Einrichtung einer Persistenz nutzte und jede 30 Sekunden einen Command-and-Control-Server kontaktierte.

Eine zweite Gruppe von Angreifern wurde ebenfalls dabei erwischt, wie sie eine parallele Kampagne über einen Loader durchführten, der über die Datei NotepadPlusPlus.zip bereitgestellt wurde. Qianxin XLab empfiehlt allen Ghost-CMS-Verwaltungen dringend, unverzüglich auf die gepatchte Version zu aktualisieren, die die Schwachstelle CVE-2026-26980 behebt.

Technischer Hintergrund

Neben der Aktualisierung sollten Website-Betreiber alle Zugangsdaten einschließlich Admin-API-Schlüsseln und Administratorpasswörter ändern, die Zugriffstagebücher auf ungewöhnliche Massenvorgänge vom Typ PUT überprüfen und den Inhalt der Artikel nach Fingerabdrücken wie ghost_once_footer_ oder atob( in Kombination mit appendChild absuchen.

Besucher, die möglicherweise während des Infektionszeitraums auf eine betroffene Ghost-Website zugegriffen haben, sollten eine vollständige lokale Sicherheitsprüfung auf ihren Geräten durchführen. Indikatoren für Kompromittierungen (IoCs): Domain: clo4shara[.]xyz; Beschreibung: Angreifer A – Staging-Domain für Cloaking (erste Welle).

Domain: cloud-verification[.]com; Beschreibung: Angreifer A – Host für eine gefälschte Cloudflare-Verifizierungsseite. Bereich: Indikator: jalwat[.]com; Beschreibung: Bedrohungsakteur A – Server zur Verteilung von Payloads. Bereich: Indikator: com-apps[.]cc; Beschreibung: Bedrohungsakteur A – Aktualisierte Cloak-Domain und Host für Payloads.

Technischer Hintergrund

Bereich: Indikator: web-telegram[.]ug; Beschreibung: Bedrohungsakteur A – C2-Server für UtilifySetup.exe (sendet Beacon-Signale alle 30 Sekunden). Bereich: Indikator: staticcloudflare[.]pro; Beschreibung: Bedrohungsakteur B – Host für bösartige CSS-Loader.

Bereich: Indikator: script-dev[.]digital; Beschreibung: Bedrohungsakteur B – Host für bösartige CSS-Loader. Bereich: Indikator: script-dev[.]buzz; Beschreibung: Bedrohungsakteur B – zugehörige Domain. Hinweis: IP-Adressen und Domains wurden absichtlich defanged (z. B. [.] ), um eine unbeabsichtigte Auflösung oder Hyperlinkierung zu verhindern.

Fügen Sie die Defang-Markierungen nur innerhalb kontrollierter Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihres SIEM wieder ein. Tushar ist ein leitender Berichterstatter im Bereich Cybersicherheit und Datenpannen.

Sicherheitslage und Risiko

Er spezialisiert sich auf die Berichterstattung über Nachrichten und Trends der Cybersicherheit sowie auf neu auftretende Bedrohungen, Datenpannen und Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen. Windows Server 2016 Domain Controller kann mit einem 15-stelligen Hostnamen ausfallen.

EU verhängt Rekord-Geldstrafe nach DMA gegen Google wegen Missbrauchs der Selbstvorzugung in der Suche. Kritische Memcached-SASL-Schwachstelle ermöglicht Angreifern die Inferenz gültiger Benutzernamen.