ClickFix-Kampagnen gegen Krypto-Nutzer Angreifer verstecken Schadcode in öffentlicher Google-Tabelle

Anbieter zum Thema

Cisco Systems GmbH

cidaas by Widas ID GmbH

FTAPI Software GmbH

Cisco Talos hat zwei Kampagnen untersucht, die Nutzer zur Ausführung schädlicher Befehle verleiten. Eine lädt Angriffscode aus einer öffentlichen Google-Tabelle nach, die andere nutzt ein gefälschtes CAPTCHA. Ziel sind Kryptowährungen, Zugangsdaten und der Fernzugriff auf Rechner.

Vertraute Cloud-Dienste können Angreifern als Infrastruktur für ihre Kampagnen dienen. Das zeigen zwei Untersuchungen von Cisco Talos. Bei beiden Fällen setzen die Akteure auf Social Engineering, da sie die Opfer dazu verleiten wollen, Code selbst auszuführen. Bei einer Kampagne gegen Kryptowährungshändler wird Schadcode aus einer öffentlichen Google-Tabelle nachgeladen. Eine zweite Infektionskette nutzt ein gefälschtes Google-CAPTCHA, um unter anderem einen Infostealer zu installieren.

Tipp: Kernel-Patches und Korrekturen im Backup

TrueNAS schließt Lücken zur Rechteausweitung

Angeblicher Handelsbonus als Köder

Die erste Kampagne läuft laut Talos seit Oktober 2025. Als Lockmittel dient ein vermeintlich durchgesickerter Sicherheitsbericht über zwei Krypto-Swap-Websites. Angeblich lasse sich dort eine Schwachstelle ausnutzen, um einen Bonus von mindestens 25 Prozent zu erhalten. Dieser gefälschte Bericht wurde den Forschern zufolge über Telegram, kriminelle Foren und Websites zum Teilen von Textinhalten verbreitet.

Die Anleitung fordert Nutzer auf, JavaScript in die Chrome-Adressleiste einzufügen oder einem legitimen Browser-Add-on hinzuzufügen. Dieser Code lädt den eigentlichen Schadcode aus einer öffentlichen Google-Tabelle nach. Dort versteckten die Betreiber ihn zusätzlich als weißen Text auf weißem Hintergrund. Der nachgeladene Skimmer manipuliert die angezeigte Einzahlungsadresse und ersetzt kopierte Adressen. Ein eingeblendeter, gefälschter Bonus soll das Opfer zur Überweisung bewegen.

Mindestens 10.000 US-Dollar erfasst

Bei der Analyse der Schadcode-Proben identifizierte Talos 49 Bitcoin-Adressen, auf die Zahlungen der Opfer umgeleitet werden sollten. Auf 24 dieser Adressen stellten die Forscher Eingänge im Gesamtwert von mindestens rund 10.000 US-Dollar fest. Anschließend seien die Gelder über mehr als 3.000 weitere Adressen weitergeleitet und gewaschen worden.

Nach Meldungen an Google und die betroffenen Websites im April wurden die Köder- und Steuerungsdokumente entfernt. Rund eine Woche später nutzten die Angreifer jedoch eine neue Tabelle. Spätere Varianten blieben laut Talos trotz wiederholter Meldungen bis in den August aktiv.

Mark of the Web umgangen

Angreifer nutzen Zero Day in der Windows Shell aus

Gefälschtes CAPTCHA führt zu Infostealer

Die zweite Infektionskette ist laut den Forschern mit der Schadsoftware-Verbrei­tungs­kampagne „ClearFake“ verknüpft und beginnt auf einer kompromittierten Website. Dort eingebundener Schadcode lädt zusätzlichen JavaScript-Code aus einem Smart Contract auf einer öffentlichen Blockchain nach. Im weiteren Verlauf erscheint ein gefälschtes Google-CAPTCHA, das Besucher dazu auffordert, einen Befehl in das Windows-Ausführen-Fenster einzufügen.

Dadurch wird der Infostealer Amatera installiert. Er zielt unter anderem auf Browserdaten, Messaging-Anwendungen, Passwortmanager, mehr als 100 Kryptowährungs-Wallets und Dateien mit privaten Schlüsseln. Weitere nachgeladene Komponenten deaktivieren Sicherheitssoftware, richten einen Relaisknoten für Angreiferverkehr ein und installieren eine versteckte Kopie eines kommerziellen Fernwartungstools. Für Betroffene bedeutet das neben dem möglichen Diebstahl von Zugangsdaten und Kryptowährungen auch das Risiko einer unbemerkten Fernsteuerung ihres Rechners.

Auch vertrauenswürdige Dienste können Schadcode ausliefern

Um sich vor Angriffen dieser Art zu schützen, empfiehlt Talos Unternehmen, Browser und Erweiterungen zentral zu verwalten, damit die IT verbindlich festlegen und kontrollieren kann, welche Add-ons Mitarbeitende installieren dürfen. Sicherheitsteams sollten außerdem prüfen, welche Anwendungen auf Cloud-Kollaborationsdienste zugreifen und ob diese Zugriffe zum jeweiligen Nutzungskontext passen.

Für die Sensibilisierung der Mitarbeitenden nennt Talos eine klare Regel: Eine legitime CAPTCHA-Prüfung verlangt nicht, einen Befehl auf dem eigenen Rechner auszuführen. Beide Untersuchungen enthalten laut Cisco technische Indikatoren und Erkennungshinweise für Sicherheitsteams.

Unsichtbare Angriffe, neue Abwehrstrategien

Zero Day und LOTL: Warum Telkos jetzt umdenken müssen

(ID:50992650)