Inhaltsverzeichnis
- Ein Kompromittiertes Skript, Tausende Websites
- Wie der Angriff Funktionierte
- Der Clipboard-Hijacker im Detail
- Das Supply-Chain-Problem
- Was Adform Sagt
- Was Wir Noch Nicht Wissen
- Wer Betroffen Ist
- Lektionen für Entwickler und Sicherheitsteams
- Das Größere Bild
Ein Kompromittiertes Skript, Tausende Websites
Am 27. Juli 2026 stieß Sicherheitsforscher Kevin Beaumont auf etwas Ungewöhnliches: Adforms breit eingesetzte JavaScript-Tracking-Datei trackpoint-async.js war still und leise in einen Krypto-Wallet-Hijacker verwandelt worden.
Adform ist eines der größten Adtech-Unternehmen Europas. Sein Tracking-Skript ist auf Tausenden von Websites weltweit eingebettet. Diese einzige Datei, die von s2.adform.net ausgeliefert wird, bearbeitet schätzungsweise 1,5 Milliarden Anzeigenimpressionen täglich in mehr als 180 Ländern.
Als Angreifer dieses eine Skript vergifteten, wurde jede ladende Site zu einem Vektor. Kein Durchbruch der nachgelagerten Websites nötig. Keine Code-Injektion in einzelne Websites. Nur eine kompromittierte Bibliothek, ausgeliefert von Adforms eigener Infrastruktur.
Wie der Angriff Funktionierte
Der Angriff folgte einem klassischen Supply-Chain-Playbook:
-
Quelle kompromittieren: Angreifer erhielten Zugang zu Adforms Deployment-Pipeline und modifizierten
trackpoint-async.js, indem sie bösartige Codeblöcke an das Ende der legitimen Bibliothek anhängten. -
Über Vertrauen verbreiten: Da das Skript von Adforms CDN (
s2.adform.net) ausgeliefert wird, luden Browser es ohne Sicherheitswarnungen. Jede Website, die Adforms Tracking-Technologie nutzt, servierte automatisch die vergiftete Version an ihre Besucher. -
Unsichtbar bleiben: Das Malware war mit einem sechs Byte XOR-Schlüssel obfuskiert und hatte zum Zeitpunkt von Beaumonts Entdeckung null Erkennungen auf VirusTotal.
-
Ephemer arbeiten: Der bösartige Code lief nur, während eine betroffene Seite geöffnet war. Er installierte keine Software und etablierte keine Persistenz.
Der Clipboard-Hijacker im Detail
Die erfasste Probe enthielt zwei bösartige Blöcke, die an die legitimen Tracking-Bibliothek angehängt wurden.
Block 1: Clipboard-Monitor
Dieser Block beobachtet Kopierereignisse und pollt alle vier Sekunden die Zwischenablage. Erkennt er eine Zeichenkette, die dem Format einer Bitcoin-, Ethereum- oder Tron-Wallet-Adresse entspricht, ersetzt er den Inhalt der Zwischenablage durch eine angreiferkontrollierte Adresse. Selbst wenn ein Benutzer es bemerkt und die korrekte Adresse neu kopiert, überschreibt das Skript sie weiterhin.
Block 2: DOM-Umschreiber
Dieser Block durchläuft die Textknoten der Seite und schreibt Wallet-Adressen in Eingabefeldern, Textbereichen und editierbaren Elementen um. Er fingt Kopieren, Ausschneiden, Einfügen und Eingabeereignisse ab.
Beide Blöcke enthalten hartkodierte Ersetzungszeichenketten für Bitcoin-, Ethereum- und Tron-Adressmuster.
Das Supply-Chain-Problem
Dieser Vorfall ist ein Lehrbuchbeispiel dafür, warum Supply-Chain-Angriffe auf Adtech-Infrastruktur so gefährlich sind.
Adforms Tracking-Skript ist kein peripheres Widget. Es ist ein Kernbestandteil davon, wie Websites Traffic messen und Werbung ausliefern. Unternehmen betten es einmal ein, oft vor Jahren, und vergessen es. Aber diese eine JavaScript-Datei hat vollen Zugriff auf das DOM der Seite, die Zwischenablage des Benutzers und jedes Formularfeld auf der Seite.
Der Jahresbericht 2025 von Adform listet etwa 1.800 Direktkunden auf, aber die nachgelagerte Exposition geht weit über diese Zahl hinaus.
Was Adform Sagt
Adform bestätigte den Vorfall und teilte mit, dass am 27. Juli verdächtige Aktivitäten festgestellt wurden:
- Der bösartige Code wurde aus dem Tracking-Skript entfernt
- Betroffene Kunden wurden benachrichtigt
- Der Vorfall wurde den Behörden gemeldet
- Dienste wurden wiederhergestellt und für sicher erklärt
Adform empfiehlt betroffenen Benutzern, Browser-Cookies und Cache zu löschen.
Was Wir Noch Nicht Wissen
Mehrere kritische Fragen bleiben unbeantwortet:
Dauer: Adform sagt, der 27. Juli war das betroffene Datum. Beaumont beobachtete bösartige Aktivitäten über Adform über die vorherige Woche.
Umfang: Wie viele Websites das vergiftete Skript geladen haben, ist unbekannt.
Einstiegspunkt: Wie die Angreifer in Adforms Deployment-Pipeline gelangten.
Identität des Angreifers: Adform hat den Angreifer nicht öffentlich identifiziert.
Wer Betroffen Ist
Jeder, der während des Kompromittierungsfensters eine Website besucht hat, die Adforms Tracking-Technologie nutzte, und mit Krypto-Wallet-Adressen interagierte, ist potenziell betroffen.
Lektionen für Entwickler und Sicherheitsteams
Überprüfen Sie Ihre Abhängigkeiten regelmäßig. Planen Sie periodische Reviews jeder externen JavaScript-Datei.
Implementieren Sie Subresource Integrity (SRI). SRI ermöglicht es Ihnen, einen kryptografischen Hash für externe Ressourcen anzugeben.
Verwenden Sie Content Security Policy (CSP) Header. Ein striktes CSP begrenzt, welche Scripts auf Ihren Seiten ausgeführt werden können.
Minimieren Sie Drittanbieter-JavaScript. Jedes eingebettete Skript ist ein potenzieller Angriffsvektor.
Das Größere Bild
Der Adform-Vorfall ist kein Einzelfall. Er ist der jüngste in einer wachsenden Reihe von Supply-Chain-Angriffen gegen das Adtech-Ökosystem.
Für die Sicherheitsgemeinschaft ist der Vorfall eine Erinnerung daran, dass Browser-seitige Bedrohungen nicht immer von offensichtlich bösartigen Websites stammen. Manchmal stammen sie von den Skripten, die vertrauenswürdige Websites bedenkenlos laden.