Einem Report der niederländischen Sicherheitsfirma Fox IT-Security Research Team zufolge sind Tausende Webseiten mit der Backdoor Crypto-PHP infiziert.
Crypto-PHP verbreitet sich vor allem über Themen und Plugins für die Content Management Systeme Joomla, WordPress und Drupal. Dabei werden Techniken des Social Engineering verwendet, indem die fraglichen Komponenten, die eigentlich kostenpflichtig wären, kosenlos angeboten werden. Wer ein derart gefälschtes Theme oder Plugin installiert, bau damit in seinen Webserver eine Hintertür ein. Der gekaperte Webserver kommuniziert in Folge verschlüsselt mit einem Command and Control Center. Auf diesem Weg empfängt er nicht nur Befehle, sondern auch Updates der Malware. Bei der Suche nach dem Ursprung der Schadsoftware stießen die niederländischen Security-Experten auf eine IP-Adresse aus Molödawien.
Bislang nutzen die Angreifer den illegalen Zugang vor allem für Black Hat Search Engine Optimization (Black Hat SEO). Dabei werden Links und Texte so in die übernommennen Webseiten eingefügt, dass sich das Ranking beispielsweise von Online Casinos und ähnlichen Seiten verbessert.
