Die DuckDuckGo-Bildersuche liefert hunterttausende Links zu virenverseuchten Hackerseiten aus.
Das Ziel sind vermutlich Passwörter und Crypto-Wallets.
Seit ungefähr einer Woche sollte eigentlich ein Aufschrei durch die Internet-Community gehen. Suchmaschinenbetreiber sollten Warnmeldungen ausgeben, Microsoft und andere Anbieter von Betriebssystemen sollten Warnmeldungen ausgeben. Doch nichts passiert.
Wer beispielsweise nach downloadbaren Vorlagen bei DuckDuckGo (teilweise auch bei google) in der Bildersuche sucht, findet oftmals nicht das, was er wirklich sucht, sondern infizierte pdf-Dateien und fingierte Captcha-Abfragen. Die Weiterleitung erfolgt oftmals nur, wen der Besucher tatsächlich von der Suchmaschine kommt, also einen Referer mitliefert. Kopiert man den Link und gibt ihn direkt in die Adresszeile des Browsers ein, sieht man hingegen oftmals eine Fehlermeldung.
Wer die angebotenen Downloads annimmt, wird infiziert; wer auf ein fingiertes Captcha klickt, ebenfalls.
Inzwischen dürften zigtausende Internetnutzer betroffen sein. Umso seltsamer, dass man nichts hört. Ich vermute, dass die Betroffenen noch gar nicht bemerkt haben, dass sie betroffen sind.
Ursache könnte WordPress sein
Um den 20. Juli 2026 wurde bekannt, dass die WordPress-Core zwei Exploits aufwies, die zum sogenannten wp2shell-Exploit zusammengefasst wurden. Die Sicherheitslücke wurde mit dem Update auf die Version 7.0.2 gefixt, doch sie besteht vor allen Dingen bei Installationen der 6er-Versionsreihe.
Trotz Warnungen wurden nun offensichtlich zahlreiche Systeme gehackt und die Hacker übernahmen die Seiten, um Suchmaschinen mit den oben genannten Links zu fluten. Ihr letztendliches Ziel war vermutlich nicht die Übernahme von WordPress, sondern die Verbreitung von Trojanern, mit denen sich infizierte Systeme entweder ausspähen oder fernsteuern lassen.
Universitäten besonders häufig betroffen
Auffällig ist, dass sehr häufig Universitäten betroffen sind. Das liegt vermutlich an der großen Reputation von .edu-Domains bei Suchmaschinen. Aber auch vom Arbeitsvermittler Randstad finden sich infizierte Subdomains in den Suchergebnissen.
Ich würde mich nicht wundern, wenn der Aufschrei in einigen Tagen oder Wochen erst kommt. Dann, wenn die Betroffenen plötzlich merken, dass ihnen alle Passwörter geklaut oder die Cryptowallet leergeräumt wurde.
Link zu diesem Beitrag
Und ohne Anchor-Tag
