Was ist ein ClickFix-Angriff und wie funktioniert er im Detail?

Digitale Nachrichten » Ressourcen » Was ist ein ClickFix-Angriff und wie funktioniert er im Detail?

ClickFix-Angriffe haben sich zu einer der angesagtesten Social-Engineering-Tricks in der Welt der Cyberkriminalität entwickelt: Kampagnen, die harmlos erscheinen, mit gefälschten Browserwarnungen oder Sicherheitsüberprüfungen, die aber letztendlich dazu führen, dass der Benutzer bösartigen Code auf seinem Computer ausführt, fast ohne es zu merken.

ClickFix ist weit mehr als nur eine technische Kuriosität; es wurde bereits in realen Kampagnen in Lateinamerika, Europa und anderen Regionen eingesetzt , um Infostealer, Remote-Access-Trojaner (RATs) und komplexe Loader wie GHOSTPULSE oder NetSupport RAT zu verbreiten und nutzte sogar TikTok-Videos oder YouTube-Tutorials, um Tausende von Opfern zu erreichen.

Was genau ist ein ClickFix-Angriff?

ClickFix ist eine relativ neue Social-Engineering-Technik (die seit 2024 an Popularität gewonnen hat), die auf einem sehr einfachen Prinzip basiert: den Benutzer davon zu überzeugen, Befehle auf seinem eigenen System zu kopieren und auszuführen, um ein vermeintliches technisches Problem zu "beheben" oder eine Überprüfung abzuschließen.

Anstatt ein Schadprogramm direkt herunterzuladen, schleust die schädliche Website ein Skript oder einen Befehl in die Zwischenablage ein (zum Beispiel PowerShell-Befehle unter Windows oder MSHTA-Befehle) und zeigt dann Schritt-für-Schritt-Anweisungen an, die das Opfer in eine Konsole, ein Ausführen-Fenster oder ein Terminal einfügen und ausführen soll.

Diese Taktik nutzt das aus, was viele Forscher als „Verifizierungsmüdigkeit“ bezeichnen : Benutzer sind es gewohnt, schnell auf Schaltflächen wie „Ich bin ein Mensch“, „Problem beheben“ oder „Jetzt aktualisieren“ zu klicken, ohne die Nachricht genauer zu analysieren. Dadurch werden sie sehr angreifbar, wenn der Bildschirm wie eine Cloudflare-Verifizierung, ein Google CAPTCHA oder ein Fehler bei Google Meet oder Zoom aussieht.

Der Name ClickFix leitet sich genau von den Schaltflächen ab, die üblicherweise in diesen Ködern erscheinen , mit Texten wie „Fix it“, „How to fix“, „Fix now“ oder „Solve issue“, die den Eindruck erwecken, dass der Benutzer eine schnelle Lösung anwendet, während er in Wirklichkeit ein Skript kopiert und ausführt, das Schadsoftware herunterlädt.

Wie ein ClickFix-Angriff Schritt für Schritt funktioniert

Obwohl es viele Variationen gibt, folgen fast alle ClickFix-Angriffe einer gemeinsamen Abfolge , die kompromittierte Websites, bösartige JavaScript-Skripte und das "erzwungene" Eingreifen des Benutzers zur Ausführung des Codes kombiniert.

Der erste Schritt ist in der Regel der Besuch einer legitimen Website, die kompromittiert wurde, oder einer direkt bösartigen Seite , die das Opfer über einen Link in einer Phishing-E-Mail, manipulierte Suchmaschinenergebnisse (bösartige Suchmaschinenoptimierung), bösartige Anzeigen oder sogar über ein TikTok- oder YouTube-Video mit angeblichen Tricks zur Aktivierung kostenpflichtiger Software erreicht.

Auf dieser Seite erscheint eine gefälschte Warnung oder Bestätigung, die ein technisches Problem simuliert : Fehler beim Laden eines Dokuments, Fehler beim Browser-Update, Mikrofon- oder Kameraprobleme in Google Meet/Zoom oder eine vermeintliche Anti-Bot-Prüfung wie Cloudflare oder reCAPTCHA, die Sie nicht fortfahren lässt, bis etwas "behoben" ist.

Sobald der Benutzer auf die Schaltfläche „Reparieren“ klickt oder das Kontrollkästchen „Ich bin ein Mensch“ aktiviert , fügt ein JavaScript-Skript automatisch einen bösartigen Befehl in die Zwischenablage ein, in der Regel einen verschleierten PowerShell- oder MSHTA-Befehl, der dann ein weiteres Stück Schadsoftware von einem Remote-Server herunterlädt.

Die Website bietet dem Opfer eine detaillierte Anleitung zur Ausführung dieses Befehls , zum Beispiel:

• Klicken Sie auf die Schaltfläche „Reparieren“, um den Lösungscode zu kopieren..
• Drücken Sie die Tasten Win+R, um das Ausführen-Fenster zu öffnen. in Windows.
• Drücken Sie Strg+V, um den Inhalt der Zwischenablage einzufügen. (der bösartige Befehl).
• Drücken Sie die Eingabetaste, um das Problem zu beheben oder mit der Überprüfung fortzufahren..

Bei fortgeschritteneren Varianten wird der Trick mit Win+X oder über die Browserkonsole ausgeführt : Der Benutzer wird angewiesen, über das Schnellmenü (Win+X) ein PowerShell-Terminal mit Administratorrechten zu öffnen oder die Browserkonsole (F12 oder Strg+Umschalt+I) zu verwenden und dort einen JavaScript-Codeblock oder eine "Verifizierungsfunktion" einzufügen.

Nach der Ausführung des Befehls entwickelt sich der Rest der Infektion im Hintergrund : Das Skript lädt weitere Teile von Command-and-Control-Servern (C2) herunter, dekomprimiert Dateien, führt bösartige DLLs durch Sideloading aus und installiert schließlich Infostealer oder RATs im Arbeitsspeicher oder auf der Festplatte.

Warum ClickFix so schwer zu erkennen ist

Einer der großen Vorteile von ClickFix für Angreifer besteht darin, dass es viele traditionelle Sicherheitsbarrieren umgeht , da die Infektionskette scheinbar vom Benutzer selbst ausgeht und nicht von einer heruntergeladenen Datei oder einem klassischen Exploit.

Es muss sich nicht unbedingt um einen verdächtigen Anhang oder eine direkt vom Browser heruntergeladene ausführbare Datei handeln , was bedeutet, dass viele E-Mail-Filter, Download-Blocker und URL-Reputationsprüfungen in dieser ersten Phase nichts offensichtlich Bösartiges erkennen.

Der Befehl wird über eine „vertrauenswürdige Shell“ des Systems ausgeführt, beispielsweise PowerShell, cmd.exe oder die Browserkonsole . Dies verleiht der Malware den Anschein legitimer Aktivitäten und erschwert die Arbeit signaturbasierter Antivirenprogramme sowie einiger Sicherheitslösungen, die nicht sehr gut in der Verhaltensanalyse sind.

Sicherheitsprodukte erkennen die Bedrohung typischerweise dann, wenn die Payload bereits ausgeführt wurde oder versucht, sich in geschützte Prozesse zu integrieren, kritische Dateien wie die Hosts-Datei zu verändern, Persistenz herzustellen oder mit einem C2-Server zu kommunizieren; das heißt, in einer Post-Exploitation-Phase.

Bis dahin kann der Angreifer erheblichen Zugriff auf das System erlangt haben : Er kann seine Berechtigungen ausweiten, Anmeldeinformationen stehlen, sich lateral im Unternehmensnetzwerk bewegen oder sogar versuchen, Antivirenprogramme und andere Verteidigungsebenen zu deaktivieren.

Wo ClickFix in der Praxis zum Einsatz kommt: gängige Kanäle und Köder

Untersuchungen verschiedener Sicherheitslabore haben gezeigt, dass ClickFix in einer Vielzahl von Kampagnen eingesetzt wird , die sowohl Privatanwender als auch Unternehmen in kritischen Sektoren ins Visier nehmen.

Angreifer nutzen diese Kanäle häufig, um ihre ClickFix-Köder zu verbreiten :

• Legitime Websites kompromittiertDabei werden JavaScript-Frameworks wie ClearFake eingebunden, um gefälschte Update- oder Verifizierungsbenachrichtigungen anzuzeigen.
• Bösartige Werbung (Malvertising)insbesondere Banner und gesponserte Anzeigen, die auf gefälschte Software-Download- oder Browser-Validierungsseiten weiterleiten.
• Anleitungen und Videos auf YouTube oder TikTok, mit angeblichen Tricks, um Software zu aktivieren oder Premium-Funktionen kostenlos freizuschalten.
• Gefälschte technische Supportforen und Websites, die Hilfeportale imitieren, wo es "empfohlen" wird, Befehle zur Behebung von Systemfehlern auszuführen.

In Lateinamerika wurden bereits Fälle dokumentiert, in denen offizielle Websites und Universitätsseiten kompromittiert wurden : zum Beispiel die Website der Fakultät für Wirtschaftsingenieurwesen der Katholischen Universität von Chile oder die Website des Polizeiwohnungsfonds von Peru, die ihren Besuchern schließlich ClickFix-Flows anzeigten.

US-Sicherheitsbehörden warnen vor Kampagnen, die auf Nutzer abzielen, die nach Spielen, PDF-Readern, Web3-Browsern oder Messaging-Apps suchen . Dabei werden alltägliche Suchanfragen ausgenutzt, um die Nutzer auf Seiten umzuleiten, die ClickFix implementieren.

Es wurden auch Kampagnen beobachtet, die auf vermeintlichen Google Meet-, Zoom-, DocuSign-, Okta-, Facebook- oder Cloudflare-Seiten basieren , auf denen ein Browserfehler oder eine CAPTCHA-Verifizierung angezeigt wird, wodurch der Benutzer gezwungen wird, die Abfolge des Kopierens und Ausführens von Befehlen zu befolgen.

Die am häufigsten mit ClickFix verbreitete Malware

ClickFix ist selten das einzige Element des Angriffs ; in der Regel ist es nur der erste Angriffsvektor, der die Auslösung einer mehrstufigen Infektionskette mit einer Vielzahl von Schadprogrammen ermöglicht.

Zu den prominentesten Familien, die in den jüngsten Wahlkämpfen beobachtet wurden, gehören :

• Infostealer wie Vidar, Lumma, Stealc, Danabot, Atomic Stealer oder Odyssey Stealer, spezialisiert auf den Diebstahl von Browser-Zugangsdaten, Cookies, Autofill-Daten, Kryptowährungs-Wallets, VPN- und FTP-Zugangsdaten usw.
• RATs (Remote-Access-Trojaner) wie NetSupport RAT oder ARECHCLIENT2 (SectopRAT)die es Angreifern ermöglichen, das System zu kontrollieren, Befehle auszuführen, Informationen zu exfiltrieren und nachfolgende Phasen, einschließlich Ransomware, einzuleiten.
• Erweiterte Loader wie GHOSTPULSE, Latrodectus oder ClearFakedie als Klebstoff fungieren, indem sie die folgenden Teile herunterladen, entschlüsseln und in den Speicher laden, oft mit sehr aufwendigen Verschleierungs- und Verschlüsselungsschichten.
• Werkzeuge zum Diebstahl von Finanz- und Unternehmensinformationen, die Daten aus Formularen, E-Mail-Clients, Messengern und Geschäftsanwendungen extrahieren.

Bei Kampagnen, die in den Jahren 2024 und 2025 aktiv waren, wurde beobachtet, dass ClickFix komplexe Kettenreaktionen auslöste : Beispielsweise startet ein ClickFix-Köder eine PowerShell-Instanz, die eine ZIP-Datei mit einer legitimen ausführbaren Datei (wie etwa jp2launcher.exe von Java) und einer bösartigen DLL herunterlädt und schließlich durch Sideloading NetSupport RAT auf dem Computer ausführt.

Ein weiterer häufiger Fall ist die Verwendung von MSHTA mit verschleierten URLs zu Domains wie iploggerco , die legitime URL-Kürzungsdienste oder Registrardienste imitieren; von dort wird ein Base64-codiertes PowerShell-Skript heruntergeladen, das schließlich Lumma Stealer-Stager oder ähnliche freisetzt.

Praxisbeispiele und ausgewählte Kampagnen mit ClickFix

Berichte mehrerer Incident-Response-Teams und Sicherheitslabore haben mehrere hochaktive Kampagnen identifiziert, bei denen ClickFix als Einfallstor genutzt wird.

Im Wirtschaftssektor waren bemerkenswerte Auswirkungen in Bereichen wie Spitzentechnologie, Finanzdienstleistungen, Fertigung, Einzel- und Großhandel, öffentliche Verwaltung, professionelle und juristische Dienstleistungen, Energie und Versorgung sowie vielen anderen zu beobachten.

Im Mai 2025 nutzten Angreifer ClickFix, um NetSupport RAT über gefälschte Seiten einzusetzen, die DocuSign und Okta imitierten. Dabei nutzten sie die mit dem ClearFake-Framework verbundene Infrastruktur, um JavaScript einzuschleusen, das die Zwischenablage manipulierte.

Im März und April 2025 wurde ein Anstieg des Datenverkehrs zu Domains dokumentiert , die von der Familie Latrodectus kontrolliert wurden. Diese begannen, ClickFix als erste Zugriffsmethode zu verwenden: Ein kompromittiertes Portal wurde auf eine gefälschte Verifizierungsseite umgeleitet, das Opfer führte eine PowerShell-Datei über Win+R aus, wodurch eine MSI-Datei heruntergeladen wurde, die die schädliche DLL libcef.dll enthielt.

Parallel dazu wurden Typosquatting-Kampagnen im Zusammenhang mit Lumma Stealer entdeckt , bei denen die Opfer aufgefordert wurden, MSHTA-Befehle auszuführen, die auf Domains verwiesen, die iplogger imitierten; diese Befehle luden stark verschleierte PowerShell-Skripte herunter, die schließlich Pakete mit ausführbaren Dateien wie PartyContinued.exe und CAB-Inhalten (Boat.pst) dekomprimierten, um eine AutoIt-Skript-Engine einzurichten, die für den Start der endgültigen Version von Lumma verantwortlich war.

Elastic Security Labs hat auch Kampagnen beschrieben, bei denen ClickFix als erster Hook für GHOSTPULSE dient , welches wiederum einen Zwischen-.NET-Loader lädt und schließlich ARECHCLIENT2 in den Speicher injiziert, wobei Mechanismen wie AMSI durch Hooking und fortgeschrittene Verschleierung umgangen werden.

Auf der Endbenutzerseite haben mehrere Anbieter vereinfachte Beispiele des ClickFix-Angriffs gezeigt, bei dem eine "Browser-Update"-Seite oder ein gefälschtes CAPTCHA stillschweigend ein Skript in die Zwischenablage kopiert und den Benutzer dann zwingt, es mit Administratorrechten in PowerShell einzufügen, wodurch es einfacher wird, eine Verbindung zur C2-Infrastruktur herzustellen und ausführbare Dateien herunterzuladen, die das System verändern.

Ein besonders besorgniserregendes Phänomen ist das Aufkommen von ClickFix auf TikTok : Videos, die sogar mit KI generiert werden, preisen "einfache Methoden" zur Aktivierung kostenloser kostenpflichtiger Versionen von Office, Spotify Premium oder Bearbeitungsprogrammen an, leiten die Nutzer aber in Wirklichkeit dazu an, schädliche Befehle zu kopieren und einzufügen, die Infostealer wie Vidar oder Stealc installieren.

Wie Analysten ClickFix-Infektionen erkennen

Auch wenn es dem Benutzer wie schwarze Magie erscheinen mag, hinterlassen ClickFix-Infektionen eine technische Spur, die Bedrohungsanalyseteams und EDR-Systeme nutzen können, um den Vorfall zu erkennen.

In Windows-Umgebungen ist einer der Analysepunkte der Registrierungsschlüssel RunMRU , der die zuletzt im Ausführen-Fenster (Win+R) ausgeführten Befehle speichert:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU

Analysten überprüfen diese Einträge auf verdächtige Muster : verschleierte Befehle, Verwendung von PowerShell oder MSHTA mit ungewöhnlichen URLs, Aufrufe unbekannter Domänen oder Verweise auf administrative Tools, die der Durchschnittsbenutzer normalerweise nicht verwendet.

Wenn Angreifer die Win+X-Variante (Schnellzugriffsmenü) verwenden, um PowerShell oder die Eingabeaufforderung zu starten , wird der Hinweis in der Prozesstelemetrie gesucht: Ereignisse der Prozesserstellung (wie z. B. ID 4688 im Windows-Sicherheitsprotokoll), bei denen explorer.exe direkt nach dem Drücken von Win+X powershell.exe startet.

Die Korrelation mit anderen Ereignissen, wie dem Zugriff auf den Ordner %LocalAppData%\Microsoft\Windows\WinX\ oder verdächtigen Netzwerkverbindungen nach dieser Ausführung , hilft dabei, das typische Verhalten einer ClickFix-Infektion zu beschreiben, insbesondere wenn Prozesse wie certutil.exe, mshta.exe oder rundll32.exe unmittelbar danach auftreten.

Ein weiterer Erkennungsvektor ist der Missbrauch der Zwischenablage : Fortschrittliche URL-Filter- und DNS-Sicherheitslösungen können JavaScript erkennen, das versucht, bösartige Befehle in den Zwischenablagepuffer einzufügen, was dazu dient, die Seite zu blockieren, bevor der Benutzer die Sequenz abschließen kann.

Was versuchen Angreifer mit der ClickFix-Technik zu erreichen?

Hinter all diesen Social-Engineering-Maßnahmen steht ein klares Ziel: wirtschaftliche Vorteile aus gestohlenen Informationen zu ziehen , sowohl von einzelnen Nutzern als auch von Organisationen.

Über ClickFix eingesetzte Infostealer sind darauf ausgelegt, Anmeldeinformationen, Cookies und sensible Daten, die in Browsern, E-Mail-Clients, Unternehmensanwendungen oder Kryptowährungs-Wallets gespeichert sind, sowie interne Dokumente und Finanzdaten zu sammeln.

Mit diesem Material können böswillige Akteure vielfältige kriminelle Aktivitäten durchführen :

• Erpressung von UnternehmenDrohung, vertrauliche Informationen über die Organisation oder ihre Kunden preiszugeben.
• Um direkten Finanzbetrug zu begehen durch Ausnutzung kompromittierter Bankkonten, Online-Zahlungssysteme oder Krypto-Wallets.
• Sich als Mitarbeiter des Unternehmens oder seiner Angestellten ausgeben Betrugshandlungen gegen Dritte durchzuführen, wie beispielsweise den typischen CEO-Betrug oder BEC-Angriffe.
• Verkauf von Zugangsdaten und Datenpaketen im Darknet die andere kriminelle Gruppen bei zukünftigen Angriffen einsetzen werden.
• Zur Durchführung von Industrie- oder geopolitischer Spionage wenn es sich bei dem Ziel um eine bestimmte Organisation oder einen strategischen Sektor handelt.

In vielen dokumentierten Kampagnen war ClickFix nur der erste Schritt hin zu größeren Angriffen , wie dem Einsatz von Ransomware nach dem Diebstahl von Zugangsdaten, dem längerfristigen Zugriff auf Unternehmensnetzwerke oder der Nutzung der kompromittierten Infrastruktur als Ausgangspunkt für andere Ziele.

Wie können sich Nutzer und Unternehmen vor ClickFix schützen?

Die Abwehr von ClickFix erfordert Technologie, bewährte Verfahren und ein hohes Maß an Sensibilisierung , denn die Schwachstelle, die diese Technik ausnutzt, ist genau das Nutzerverhalten.

Auf individueller Ebene gibt es einige sehr einfache goldene Regeln , die das Sturzrisiko erheblich verringern:

• Fügen Sie niemals Code in eine Konsole (PowerShell, cmd, Terminal, Browserkonsole) ein, nur weil eine Webseite Sie dazu auffordert.so legitim es auch erscheinen mag.
• Seien Sie vorsichtig bei Cloudflare-Verifizierungen, CAPTCHAs oder "Browser-Update"-Seiten, die zu ungewöhnlichen Schritten auffordern. mehr als nur ein Kästchen oder einen Knopf anzuklicken.
• Halten Sie Ihren Browser, Ihr Betriebssystem und Ihre Anwendungen stets auf dem neuesten Stand.Installieren Sie Patches nur von offiziellen Quellen und nicht über zufällige Banner oder Pop-ups.
• Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA) für wichtige Konten., um es den Angreifern selbst dann schwerer zu machen, wenn es ihnen gelingt, das Passwort zu stehlen.

Im Unternehmensumfeld sollten Unternehmen zusätzlich zu diesen Empfehlungen noch einen Schritt weiter gehen und ClickFix als konkrete Bedrohung in ihre Sicherheitsstrategie einbeziehen.

Einige wichtige Maßnahmen für Organisationen sind :

• Beschränken Sie die Verwendung von Befehlsausführungstools (PowerShell, cmd, MSHTA). durch Gruppenrichtlinien, Anwendungssteuerungslisten oder EDR-Konfigurationen, sodass nur technische Profile sie verwenden und die Aktivität immer protokolliert wird.
• Implementieren Sie moderne Antimalware- und EDR-Lösungen mit verhaltensbasierten Erkennungsfunktionen, die in der Lage sind, verdächtige Ausführungsmuster auch dann zu identifizieren, wenn der Benutzer eingreift.
• Netzwerkverkehr und ausgehende Verbindungen zu Domains mit schlechtem Ruf überwacheninsbesondere gegenüber URL-Kürzungsdiensten, neu registrierten Domains oder ungewöhnlichen TLDs.
• Überprüfen Sie regelmäßig Artefakte wie RunMRU, PowerShell-Protokolle und Sicherheitsereignisse. um Anzeichen für den Missbrauch von Win+R, Win+X oder administrativen Konsolen zu erkennen.

Eine grundlegende Säule ist die kontinuierliche und realitätsnahe Schulung der Mitarbeiter : Ein theoretischer Kurs reicht nicht aus, aber es ist sinnvoll, kontrollierte Social-Engineering-Tests durchzuführen, die ClickFix-ähnliche Kampagnen, CEO-Betrug, fortgeschrittenes Phishing oder Malvertising simulieren.

Mithilfe dieser Simulationen können wir den Reifegrad der Belegschaft in Bezug auf diese Techniken messen , die Sensibilisierungsstrategie anpassen, Bereiche mit größerem Risiko identifizieren und die Kultur des „Innehalten und Nachdenkens“ stärken, bevor verdächtigen Anweisungen auf einer Website oder in einer E-Mail gefolgt wird.

Darüber hinaus ist es unerlässlich, dass Unternehmen auf einen Vorfall schnell reagieren können : Sie benötigen klare Reaktionspläne, spezialisierte Teams oder Dienstleister sowie klar definierte Eindämmungs- und Beseitigungsprozesse für den Fall, dass ein möglicher ClickFix-Fall oder ein anderer Angriffsvektor entdeckt wird.

Die zunehmende Verbreitung der ClickFix-Technik macht deutlich, dass Angreifer einen sehr effektiven Weg gefunden haben, Benutzer zu unwissenden Komplizen zu machen , und dass sie nicht zögern, diese mit ausgeklügelter Malware, dynamischen C2-Infrastrukturen und massiven Kampagnen in sozialen Netzwerken oder Suchmaschinen zu kombinieren; das Verständnis ihrer Funktionsweise, das Erkennen ihrer Signale und die Stärkung sowohl der Technologie als auch der Benutzeraufklärung machen heute den Unterschied zwischen einem schwerwiegenden Sicherheitsvorfall und dem rechtzeitigen Stoppen des Angriffs aus.

In Verbindung stehender Artikel:

Wie Sie sich vor Interlock- und Warlock-Ransomware schützen können: Ein taktischer und praktischer Leitfaden