Cyberkriminelle und staatliche Akteure Social-Engineering-Kampagne ClickFix findet immer mehr Opfer

Anbieter zum Thema

FTAPI Software GmbH

Sicherheitsforscher beobachten eine massive Social-Engineering-Angriffs­welle mit dem Namen „ClickFix“. Immer mehr Unternehmen fallen der Social-Engineering-Kampagne zum Opfer. Zu den Angreifern zählen auch staatliche Akteure.

Sicherheitsforscher beobachten vermehrt Angriffe mit ClickFix, einer Social-Engineering-Kampagne, die Nutzer mit echt aussehenden Pop-Up-Meldungen täuscht. Klicken die Opfer eine Meldung an, führen sie schädliche Befehle auf ihren Systemen aus. Sowohl kriminelle Gruppen als auch staatliche Akteure nutzen diese Methode.

Crowdstrike 2025 Global Threat Report

Cyberangreifer werden schneller und arbeiten „interaktiv“

So funktioniert ClickFix

ClickFix ist ein Social-Engineering-Trick, bei dem die Angreifer Benutzer so manipulieren, dass diese Schadsoftware selbst auf ihren Systemen installieren. Der Angriff beginnt, wenn das Opfer über eine präparierte Website surft. Auslöser sind in den meisten bekannten Fällen eine Phishing-Mail, eine manipulierte Google-Anzeige oder eine infizierte legitime Seite.

Die Website zeigt ein Pop-up, das wie eine echte Sicherheits- oder Systemmeldung aussieht. Beispiele hierfür sind „Ich bin kein Roboter“, „Verbindung reparieren“ oder „Update erforderlich“. Die Anzeigen fordern das Opfer dazu auf, eine Schaltfläche anzuklicken.

Mit dem Klick kopiert die Webseite einen vorbereiteten PowerShell-Befehl in die Zwischenablage des Nutzers. Gleichzeitig gibt die Webseite die nächste Anweisung: Der Nutzer soll das „Ausführen“-Fenster mit Win + R öffnen und den kopierten Befehl einfügen. Der Benutzer glaubt, er handelt im Sinne der Sicherheit, dabei infiziert er mit dieser Aktionen seinen Rechner selbst.

Nach dem Ausführen lädt der Befehl Schadcode wie Lumma Stealer, QuasarRAT, DarkGate oder NetSupport RAT von einem entfernten Server herunter. Diese Programme stehlen Passwörter und Zugangsdaten, steuern Systeme fern oder bereiten weitere Angriffe vor. Da der Benutzer den Befehl selbst ausführt, umgehen ClickFix-Angriffe viele Sicherheitsmaßnahmen wie Antivirenprogramme oder E-Mail-Gateways und bleiben oft lange unentdeckt. Die Erfolgsquote macht diese Methode zusätzlich attraktiv.

Social Engineering

Schutz vor heimtückischen Pretexting-Angriffen

Breites Opferspektrum

Laut einer Analyse von Sophos X-Ops waren im März insbesondere kleinere Unternehmen aus dem Gesundheits- und Dienstleistungssektor betroffen. Zu den angegriffenen Organisationen zählen Kliniken, Arztpraxen und Autohäuser mit Fokus auf CRM- und Kalenderfunktionen.

Die Angriffe haben teilweise eine geopolitische Motivation. Das zeigt die Analyse des Cybersecurity-Unternehmens Proofpoint. Demnach setzen einige Gruppen ClickFix in ihren Cyber-Spionage-Kampagnen ein, um gezielt Organisationen und Einzelpersonen auszuspionieren:

• Die nordkoreanische Gruppe TA427 setzte ClickFix ein, um Mitarbeiter von Think Tanks zu kompromittieren.

• Die iranische Gruppe TA450 nutzte gefälschte Microsoft-Sicherheitsupdates zur Installation von Remote Monitoring & Management (RMM)-Tools.

• Die russischen Gruppen UNK_RemoteRogue und TA422 verbreiteten infizierte Office-Dokumente bzw. präparierte Google Sheets, um Daten zu entwenden.

Rezension: „Fighting Phishing“ von Roger A. Grimes

Phishing-Wissen für Einsteiger und Profis

Schutz gegen ClickFix

Security-Experten empfehlen eine einer Kombination aus Technik- und Awareness-Maßnahmen, um sich vor ClickFix zu schützen:

• PowerShell-Einschränkungen: Einsatz von AppLocker, Windows Defender Application Control (WDAC) oder Group Policies, um die Nutzung von PowerShell einzuschränken oder zu protokollieren.

• Clipboard Monitoring: Einige Sicherheitslösungen bieten die Möglichkeit, das Verhalten rund um die Zwischenablage zu analysieren. Ungewöhnliche Muster wie das Kopieren von PowerShell-Befehlen durch JavaScript können so erkannt und blockiert werden.

• Awareness-Schulungen: Regelmäßige Schulungen zur Erkennung und Abwehr von Phishing und Social Engineering.

Studie von Sopra Steria

Phishing und Social Engineering haben im Sommer Hochsaison

(ID:50397588)