LONDON (IT BOLTWISE) – Ein Online-Shop, der mit dem Namen eines US-Behördenchefs verbunden war, wurde Opfer eines ClickFix-Angriffs: Besucher auf macOS wurden über eine gefälschte Cloudflare-„Verify you are human“-Seite in Terminal-Aktionen gelotst. Dabei soll ein Infostealer im Hintergrund private Daten, Session-Tokens und sogar Krypto-Assets aus Wallets abgreifen. Der Shop ging nach der Entdeckung offline, meldet aber eine baldige Rückkehr mit „Verbesserungen“. Security-Teams sollten den Browser- und Geräte-Status jetzt priorisiert prüfen.
Ein scheinbar harmloser Webshop wurde zum Einstiegspunkt für eine besonders manipulative ClickFix-Infostealer-Kampagne: „Based Apparel“ ging offline, nachdem die Seite offenbar gezielt macOS-Nutzer dazu bewegen sollte, Malware auszuführen. Auffällig ist weniger der Umstand, dass ein Laden „gehackt“ wurde, sondern die konkrete Täuschungslogik. Die Angreifer platzierten eine gefälschte Sicherheitswarnung, die wie eine Prüfung gegen automatisierte Zugriffe wirkte und Nutzer in eine Abfolge aus scheinbar legitimen Klicks und Terminal-Kommandos führte. Damit verbindet die Attacke Social Engineering mit einer technischen Ausführungsebene, die auf macOS besonders wirksam sein kann, weil viele Nutzer Terminal-Befehle aus ihrer Alltagserfahrung heraus unterschätzen.
Technisch setzt der Angriff auf den sogenannten ClickFix-Mechanismus: Der Nutzer landet auf einer präparierten Landingpage, die eine „ungewöhnliche“ Zugriffssituation behauptet und zur „Verifizierung“ auffordert. Statt den User direkt nach Passwörtern oder Codes zu fragen, wird der Weg über eine CAPTCHA-ähnliche Interaktion gewählt. Das eigentliche Ziel sind jedoch nicht die CAPTCHA-Elemente, sondern die Erstellung eines Systems, in dem der Browser dem Opfer Instruktionen liefert, die es anschließend lokal ausführt. In der beschriebenen Kette fordert die Seite unter anderem dazu auf, macOS-Terminal zu öffnen und einen Inhalt einzufügen, der erst als Textblock harmlos aussieht, dann aber beim Ausführen versteckte Logik auslöst.
Der entscheidende Moment liegt im Zusammenspiel aus „Copy“-Aktion und nachfolgendem Paste/Run im Terminal. Der Shop zeigt einen Button, der angeblich eine kurze, konventionelle Phrase kopieren soll; tatsächlich wird jedoch ein umfangreicher, obfuskierten Codeblock in die Zwischenablage übertragen. Sobald dieser Block im Terminal eingefügt und ausgeführt wird, startet ein Shell-Skript, das eine Verbindung zu einem Command-and-Control-Endpunkt (C2) herstellt. Von dort aus kann die Malware Module nachladen, Persistenz aufbauen oder weitere Aktionen koordinieren. Berichtet wird, dass dabei besonders wertvolle Ziele adressiert werden: das Auslesen von Session-Tokens, das Sammeln browserbasierter Daten und das gezielte Abgreifen von Krypto-Assets aus digitalen Wallets.
Für die Entdeckung ist die Timing-Dimension relevant: Ein Nutzer aus Portugal bemerkte die Manipulation offenbar bereits am Donnerstag, während die Seite kurz darauf am Freitag vollständig aus dem Verkehr gezogen wurde. Laut den Angaben konnten Forschende die Attacke zu einem späteren Zeitpunkt zwar noch nachvollziehen, etwa mit einem MacBook und dem Chrome-Browser, doch am Ende verschwand der vollständige Ablauf aus der Online-Sicht der Öffentlichkeit. Solche „Takedown“-Schritte sind typisch für Infostealer-Kampagnen, wenn eine Kampagne im Monitoring sichtbar wird oder wenn Sicherheitsforscher den Delivery-Chain-Details auf die Spur kommen. Der Shop reagierte mit einer generischen „We’ll be right back“-Nachricht und deutet Verbesserungen an, ohne Sicherheitsdetails offenzulegen.
Wie groß der mögliche Schaden ist, bleibt unklar, aber die Reichweite spielt in der Risikoabschätzung eine zentrale Rolle. Der Shop wird als vergleichsweise frequentiert beschrieben; zudem ist die Zielauswahl (macOS-Nutzer) ein Hinweis darauf, dass die Angreifer nicht „randomly“ streuen, sondern eine spezifische, plausibel umsetzbare Ausführungskette testen. Branchenexperten betonen in solchen Fällen häufig den Unterschied zwischen „Besuch“ und „Erfolgsereignis“: Nicht jeder, der die Seite öffnet, muss zwingend den Terminal-Schritt ausführen, doch die Gestaltung der Seite senkt die Schwelle durch den Eindruck einer legitimen Sicherheitsprüfung. Wenn Nutzer die Copy-and-Paste-Instruktionen befolgen, sinkt die Wahrscheinlichkeit, dass die Malware nur im Hintergrund verpufft, drastisch.
Ein weiterer Kontextaspekt ist die Rolle von Cloudflare-Optik als sozialer Verstärker. Selbst wenn die echte Sicherheitsdienstleistung nicht beteiligt ist, verwenden Angreifer häufig vertraute UI-Muster, weil sie die kognitive Last für das Opfer senken: Wer „Verify you are human“ liest, erwartet eine Standardprüfung. Genau diese Erwartung wird ausgenutzt. Als Vergleich lässt sich an andere Infostealer-Trends anschließen, bei denen Browser-Interaktionen und lokale Ausführung über „Script“-Hooks kombiniert werden, etwa um Token-Diebstahl effizient zu machen. Wer in Unternehmensumgebungen arbeitet, erkennt darin ein klassisches Problem: Auch wenn technische Schutzmechanismen im Netzwerk greifen, kann eine gefälschte Client-Seite bei ausreichender Nutzerinteraktion die Kontrolle über den Endpunkt übernehmen.
Regulatorisch und datenschutzseitig erhöht sich die Relevanz, weil es sich nicht um eine anonyme Kleingruppe mit geringer Sichtbarkeit handelt, sondern um einen kommerziellen Shop, der mit einer prominenten Person in Verbindung gebracht wird. In der Praxis bedeutet das: Für betroffene Nutzer und Organisationen rücken Fragen nach Datenkategorien in den Vordergrund, etwa personenbezogene Kontoinformationen, Browser-Identifikatoren und Session-Daten, die in der Folge Account-Übernahmen ermöglichen. Zusätzlich sind Krypto-Transfers besonders heikel, weil Einwilligungen und Zweckbindung bei derartigen Abflüssen praktisch ausgeschlossen sind. Security-Teams sollten daher neben dem Endpoint-Scan auch prüfen, ob Logins, Cookies und API-Sessions verdächtig neu ausgestellt wurden.
Blickt man nach vorn, deutet die Kampagnenlogik auf zwei parallele Entwicklungen hin: Zum einen werden ClickFix- und Browser-Delivierungsmuster weiter verfeinert, um Nutzerhandlungen zu orchestrieren, die sich nicht durch klassische „Block the file“-Ansätze abfangen lassen. Zum anderen steigt der Druck auf Unternehmen, Endgeräte stärker gegen „user-driven execution“ zu härten, zum Beispiel durch strengere Permission- und Command-Execution-Policies sowie durch Endpoint-Monitoring, das ungewöhnliche Terminal-/Shell-Aktivitäten zeitnah erkennt. Für Entwickler und Security-Verantwortliche ergibt sich damit ein klarer Handlungsrahmen: Browser-Schutz und DNS-Filter reichen allein nicht; entscheidend ist die Kombination aus Client-Visibility, Angriffserkennung und schnellen Incident-Workflows. In den kommenden Wochen ist zudem mit erneuten Varianten solcher Delivery-Ketten zu rechnen, weil Shop-Content häufig rasch ausgetauscht und Kampagnen über ähnliche Domains oder Templates weitergespielt werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "ClickFix-Angriff auf „Based Apparel“-Shop: Infostealer für macOS" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "ClickFix-Angriff auf „Based Apparel“-Shop: Infostealer für macOS" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »ClickFix-Angriff auf „Based Apparel“-Shop: Infostealer für macOS« bei Google Deutschland suchen, bei Bing oder Google News!