Sicherheitsforscher von Sansec haben einen laufenden Supply-Chain-Angriff auf drei weit verbreitete WordPress-Plugins aufgedeckt: OptinMonster, TrustPulse und PushEngage. Alle drei stammen aus dem Hause Awesome Motive, einem der größten Plugin-Anbieter im WordPress-Ökosystem. Angreifer schleusten bösartigen JavaScript-Code in legitime Dateien ein, die Awesome Motive über sein Content Delivery Network an Kundenseiten ausliefert. Betroffen sind nach Angaben der Forscher über 1,2 Millionen Websites weltweit.

Supply-Chain-Angriff

Das Besondere an diesem Angriff: Die Schadsoftware landete nicht direkt auf den Servern der betroffenen Website-Betreiber, sondern wurde über die zentralen Auslieferungsdateien von Awesome Motive verteilt. Wer eines der Plugins nutzte, lud die manipulierten Skripte also automatisch von der Quelle. Das Prinzip ähnelt dem sogenannten Polyfill-Angriff, den Sansec bereits 2024 aufgedeckt hatte: Greift man eine einzige zentrale Datei an, erreicht der Schadcode Tausende Websites auf einmal, ohne diese einzeln kompromittieren zu müssen.

Die Schadsoftware agierte gezielt und wartete geduldig. Sie aktivierte sich ausschließlich dann, wenn ein eingeloggter WordPress-Administrator die Seite besuchte, erkennbar an typischen Merkmalen wie dem Admin-Pfad oder einem bestimmten Cookie. Wurde ein Ziel erkannt, legte der Code still einen neuen Administrator-Account an, oft unter dem Namen "developer_api1", und installierte ein verstecktes Backdoor-Plugin. Dieses Plugin entzog sich aktiv der Erkennung: Es tauchte weder in der Plugin-Übersicht noch in Nutzer- oder Update-Listen auf. Anschließend übermittelte die Schadsoftware die erbeuteten Zugangsdaten verschlüsselt an die Domain tidio.cc, eine bewusst gewählte Lookalike-Domain des legitimen Dienstes tidio.com.

Beliebiger Code ausführbar

Das installierte Backdoor-Plugin war ein vollwertiges Angriffswerkzeug. Es öffnete einen Web-Shell-Zugang namens "WPM File Manager & Shell" und ermöglichte Angreifern, ohne weitere Authentifizierung beliebigen Code auf dem Server auszuführen sowie Dateien hoch- und herunterzuladen. Um der Entdeckung zu entgehen, tarnten die Hintermänner das Plugin unter wechselnden Namen wie "Content Delivery Helper" oder "Database Optimizer" und generierten bei jeder Installation eine frische, leicht abgewandelte Version. Die zugehörige Command-and-Control-Infrastruktur war bereits seit Ende April 2026 vorbereitet worden, der eigentliche Angriff lief ab dem 12. Juni.

Awesome Motive hat sich gegenüber Sansec bislang nicht geäußert. Die manipulierten Dateien von OptinMonster und TrustPulse wurden laut den Forschern noch am 13. Juni bereinigt, das PushEngage-SDK lieferte den Schadcode jedoch bis zum 14. Juni aus. Wer eines der drei Plugins nutzt und in diesem Zeitraum als Administrator eingeloggt war, muss davon ausgehen, bereits kompromittiert zu sein.

Bereinigungsarbeiten

Betroffene sollten umgehend nach den Konten "developer_api1" sowie zufällig generierten "dev_xxxxxx"-Accounts suchen, diese entfernen und alle Administratorkennwörter und Zugangsdaten erneuern. Sansec empfiehlt außerdem, das Dateisystem direkt zu durchsuchen, da das Backdoor-Plugin sich in der Admin-Oberfläche aktiv versteckt. Angesichts des riesigen Plugin-Portfolios von Awesome Motive, das unter anderem WPForms (über 6 Millionen Installationen) und All in One SEO (rund 3 Millionen) umfasst, raten die Forscher auch Nutzern anderer Produkte des Anbieters zur erhöhten Wachsamkeit.