KIEW / LONDON (IT BOLTWISE) – CERT-UA beschreibt eine neue ClickFix-basierte Kampagne, bei der gefälschte CAPTCHA-Prüfungen Opfer dazu bringen, auf kompromittierten Seiten selbst schädliche PowerShell-Befehle auszuführen. Dahinter steht laut Meldung der Cluster UAC-0145, dem Sandworm-Umfeld zugeordnet. Zusätzlich nutzen die Angreifer ein dynamisches Web-Overlay, um Inhalte je nach Besucher umzuschalten, und setzen Reconnaissance-Skripte ein. Für Unternehmen heißt das: Sensibilisierung allein reicht nicht – gerade bei Terminal- und Scripting-Rechten müssen Sicherheitskontrollen greifen.
ClickFix ist im Kern keine neue Technik, aber die jüngste Beobachtung aus der Ukraine zeigt, wie effektiv sie im Zusammenspiel mit modernen Web-Umleitungen funktionieren kann. Laut CERT-UA wurde eine Kampagne identifiziert, die ukrainische Ziele über kompromittierte Seiten dazu bringt, eine vermeintliche CAPTCHA-Prüfung durchzuführen – und dabei aktiv einen PowerShell-Befehl aus dem Terminal auszuführen. Diese Selbstinfektion senkt die Hürde für den Schadcode erheblich, weil die eigentliche Malware-Ausführung nicht ausschließlich vom Opfer abhängt, sondern auch von dessen Bereitschaft, die Anweisung „richtig“ zu befolgen.
Technisch betrachtet startet der Angriff nicht mit einem klassischen „Download“-Button, sondern mit gefälschten CAPTCHA-Checks, die in der Browser-Session des Opfers ausgespielt werden. CERT-UA beschreibt hierfür eine Kombination aus einer gezielten Seitenauslieferung und einem Werkzeug namens SMARTAXE, das Inhalte abhängig vom Besucher dynamisch verändert. Die CAPTCHA-Komponente stützt sich zudem auf die EtherHiding-Idee: Dabei wird der Domain-Name für eine entfernte Ressource aus einem Ethereum-Smart-Contract ausgelesen, wobei ein entsprechender Adresswert im Quellcode hinterlegt ist. Diese Konstruktion erschwert statische Analysen und verlängert die Lebensdauer des Teils der Infrastruktur, der für die spätere Kommunikation benötigt wird.
Innerhalb der Ausführungskette tauchen mehrere Bausteine auf, die unterschiedliche Aufgaben abdecken. CERT-UA nennt etwa SCOUTCURL als PowerShell-Skript für grundlegende Reconnaissance, also das Sammeln von Systemdetails, bevor weitere Aktionen starten. Bei den Loader-Komponenten werden FLUIDLEECH und LOADLOOP beschrieben; FLUIDLEECH tarnt sich dabei als Software zur Entfernung von Computer-Viren. Daneben wird ein Python-Backdoor namens FREAKYPOLL erwähnt. In Summe konnten zwischen Juni und Juli 2026 mindestens zehn kompromittierte Websites der Kampagne zugeordnet werden, darunter auch ein Szenario, in dem Cloaking-Dienste wie Cloaking.House als Teil der Umleitung missbraucht wurden.
Im Markt- und Bedrohungskontext ist vor allem relevant, dass CERT-UA UAC-0145 als sub-cluster innerhalb Sandworm einordnet – damit rückt eine Gruppe mit hoher Operationsfähigkeit in den Fokus. Sandworm wird in der Cyber-Landschaft häufig im Kontext anderer komplexer Angriffssequenzen diskutiert; ähnlich zielgerichtete Muster findet man auch in Berichten über APTs wie APT28, wobei sich die konkreten Delivery-Kanäle unterscheiden. Entscheidender Unterschied zu früheren Kampagnen: Statt trojanisierter Windows-Installer oder Office-Komponenten mit eingebautem Backdoor setzt die neue Variante stärker auf Social Engineering über Web-Interaktionen. Die Rückkopplung an bekannte ClickFix-Ökosysteme ist zudem sichtbar, weil das Schema bereits zuvor mit Malware-Familien wie OXLOADER, Mistic oder SCMBANKER in Verbindung gebracht wurde – und nun in einen weiteren Schritt zur Datenexfiltration übersetzt wird.
Für Unternehmen ist der Sicherheitshebel besonders hoch, weil ClickFix genau an der „letzten Meile“ ansetzt: beim Nutzerverhalten. Wenn eine gefälschte CAPTCHA-Seite eine Anweisung zur Ausführung von PowerShell in das Terminal schiebt, genügt es nicht, nur E-Mail-Phishing zu blockieren. Notwendig sind robuste Kontrollen entlang der Scripting-Kette: Logging und Alerting für PowerShell-Startparameter, Einschränkungen für unautorisierte Script-Ausführung, sowie eine Netzwerksegmentierung, die ausgehende Verbindungen zu verdächtigen Cloud-Endpoints erschwert. CERT-UA erwähnt außerdem Dropbox-API-Nutzung als Upload-Kanal und die Möglichkeit, Befehle oder Daten aus externen Quellen – sogar aus legitimen Community-Seiten wie steamcommunity[.]com – zu beziehen. Genau diese „Legitimitäts-Mischung“ ist in der Praxis schwerer zu erkennen als ein einzelner klarer Blocklist-Trigger.
Auch die Mobil-Komponente macht die Kampagne breiter anwendbar. CERT-UA berichtet, dass Android-Backdooring über APK-Dateien erfolgt, die über Messaging-Apps verteilt und als Sicherheits-Tools getarnt werden. Das in der APK eingebaute Backdoor trägt demnach den Namen COWARDDUCK und ist als voll funktionsfähiges Sammel- und Exfiltrationsmodul ausgelegt. Zu den beschriebenen Datentypen zählen Kontakte, Dateien bestimmter Dateiendungen in mehreren typischen Verzeichnissen (etwa DCIM, Documents, Downloads, Pictures und auch Alarms) sowie Geolocation in Echtzeit. Damit entsteht eine zusätzliche Angriffsfläche, die traditionelle Desktopschutz-Modelle häufig unterschätzen, weil Mobile-Device-Management und Berechtigungskonzepte oft weniger stringent implementiert sind.
Der historische Kontext erklärt, warum sich ClickFix trotz häufiger Abwehrmaßnahmen hält. Seit Jahren wird die Idee wiederverwendet, Nutzer durch technische „Gatekeeper“ zu einem Schritt zu drängen, der Malware erst ermöglicht – und sie dabei auf vermeintlich harmlosen Seiten durchzuführen. Neu ist in dieser Variante weniger die Grundlogik, sondern die Operationalisierung: dynamische Webseitenanpassung, Domain-Ableitung über Ethereum-basierte EtherHiding-Mechanismen und die Kombination aus Loadern, Reconnaissance-Skripten und Backdoors in einer Kette. Die Zukunftsimplikation ist klar: Wir werden bei APT-nahen Kampagnen mehr „komposite“ Delivery-Ketten sehen, bei denen Web, Scripting und Cloud-APIs enger verzahnt sind, um Detektion auf Einzelmaßnahmen-Ebene zu umgehen.
Für die nächsten Monate sollten Sicherheitsteams deshalb weniger in „einem“ Fix denken, sondern in Abwehrbreite. Eine sinnvolle Roadmap ist die technische Härtung von Endpoints gegen PowerShell-Missbrauch, gekoppelt mit Threat-Intel-gestützter Überwachung auf Scripting- und Exfiltrationsmuster. Zusätzlich lohnt sich eine strengere Kontrolle von Browser-zu-Terminal-Workflows: Wenn Nutzerfunktionen zur Ausführung von Systembefehlen durch Web-Inhalte angestoßen werden, müssen SOC-Regeln und Endpoint-Richtlinien Alarm schlagen. Parallel sollten Mobile-Programme, insbesondere APK-Verteilung über Messengerdienste, in die Baseline aufgenommen werden. So lässt sich die Angriffsfläche verkleinern, bevor die „Selbstinfektion“ überhaupt beginnt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "CERT-UA warnt vor ClickFix-Kampagne UAC-0145: PowerShell-CAPTCHA führt zu Datenklau" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "CERT-UA warnt vor ClickFix-Kampagne UAC-0145: PowerShell-CAPTCHA führt zu Datenklau" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »CERT-UA warnt vor ClickFix-Kampagne UAC-0145: PowerShell-CAPTCHA führt zu Datenklau« bei Google Deutschland suchen, bei Bing oder Google News!