Adform zählt zu den größten Adtech-Unternehmen Europas und betreibt eine Full-Stack-Plattform mit Demand-Side Platform, Supply-Side Platform, Ad-Servern und Verwaltungswerkzeugen. Gerade weil das Tracking-Skript der Plattform breit eingebunden ist, hatte die Manipulation eine Lieferketten-Dimension: Nicht nur Adform selbst war betroffen, sondern auch Websites, die „trackpoint-async.js“ einsetzten.
Kevin Beaumont entdeckte die bösartige Aktivität und führte sie auf genau dieses von Adform gehostete Skript zurück. Nach seiner Analyse überwachte das trojanisierte JavaScript permanent die Zwischenablage von Nutzern, die Webseiten mit eingebettetem „trackpoint-async.js“ besuchten. Sobald das Skript Wallet-Adressen für Bitcoin, Ethereum oder TRON erkannte, ersetzte es diese durch eine Adresse des Angreifers, um Zahlungen umzuleiten.
Beaumont erklärte, dadurch seien Endgeräte von Besuchern nachgelagerter Websites mit Krypto-stehlender Schadsoftware kompromittiert worden. Nach seinen Beobachtungen kommunizierten zudem weitere bei Adform gehostete schädliche Skripte mit einem vom Angreifer kontrollierten Server unter 84.32.102[.]230:7744. Übertragen wurden dabei die IP-Adresse des Opfers, die verweisende Website und der URL-Pfad.
Eine Analyse der Datei auf VirusTotal zeigte laut Bericht, dass keine der verfügbaren Antiviren-Engines das Skript als schädlich erkannte. Beaumont zufolge entfernte Adform den bösartigen Code kurz nach seiner Entdeckung. Das Unternehmen bestätigte erkannte verdächtige Aktivitäten am 27. Juli und teilte mit, eine „Cybersicherheitsbedrohung“ festgestellt zu haben.
Adform erklärte, den schädlichen Code entfernt und „weitere Maßnahmen zum Schutz von Website-Besuchern, unseren Kunden und der Adform-Plattform“ ergriffen zu haben. Nach Angaben des Unternehmens war der Code nach aktuellem Kenntnisstand nicht dafür vorgesehen, Software auf dem Gerät eines Nutzers zu installieren oder dauerhaft verankert zu bleiben. Er habe nur während der geöffneten betroffenen Webseite gearbeitet. Die Dienste von Adform seien nun wieder sicher nutzbar, die Untersuchung dauere jedoch an.
Betroffen sind laut Adform Personen, die am 27. Juli 2026 Websites mit der „betroffenen Adform-Technologie“ besucht haben. Als empfohlene Maßnahme nannte das Unternehmen das Löschen von Browser-Cookies, um den schädlichen Code zu beseitigen. Zudem habe Adform betroffene Kunden direkt informiert und ihnen relevante Informationen sowie empfohlene Schritte bereitgestellt.
BleepingComputer bestätigte anhand einer auf Archive.org gespeicherten Probe ebenfalls, dass eine sich selbst ausführende Nutzlast in die über Adforms Infrastruktur ausgelieferte Tracking-Bibliothek eingeschleust worden war. Der schädliche Code sei in verschleierter Form an das Ende der legitimen Bibliothek angehängt worden und habe eine Funktion enthalten, die Zeichenfolgen im Format von Krypto-Wallet-Adressen ersetzte. Neben der Manipulation der Zwischenablage konnte die Schadfunktion auch Wallet-Adressen direkt auf Webseiten umschreiben, sodass angezeigte Zahlungsadressen durch die des Angreifers ersetzt wurden.
Nach Beaumonts Einschätzung lief die über Adform verbreitete bösartige Aktivität bereits seit der vergangenen Woche, ohne entdeckt zu werden. Die älteste von BleepingComputer gefundene Probe stammte aus einem Schnappschuss von Archive.org vom 26. Juli um 23:29:03 GMT. Beaumont stellte Sicherheitsingenieuren zudem über Pastebin ein Beispiel des schädlichen Skripts zur Analyse zur Verfügung.