LONDON (IT BOLTWISE) – Microsoft Threat Intelligence warnt vor einer neuen Cyber-Angriffswelle namens ClickFix. Die Kampagne nutzt die BNB Smart Chain, um Befehle für die Schadsoftware bereitzustellen und klassische Command-and-Control-Abschaltungen zu erschweren. Angreifer kompromittieren dafür legitime Websites und schleusen Base64-JavaScript ein, das über ein RPC-Gateway mit Smart Contracts kommuniziert. Auf den infizierten Seiten sollen gefälschte CAPTCHA-Abfragen Nutzer zu manuellen Schritten verleiten und so die Infektion anstoßen.
ClickFix reiht sich nicht einfach nur als weitere Malware-Familie in die ständig wachsende Landschaft ein. Der auffällige Teil der Kampagne ist die Architektur: Laut Microsoft Threat Intelligence verknüpfen die Angreifer Web-Kompromittierung mit Blockchain-Infrastruktur, konkret über die BNB Smart Chain. Dadurch wird das, was viele Defender vor allem aus der Vergangenheit kennen – abschaltbare Steuerserver für Command-and-Control – zum weniger eindeutigen Angriffspunkt. Praktisch heißt das: Selbst wenn Teams typische Infrastrukturkomponenten identifizieren und sperren, können nachgelagerte nächste Schritte weiterhin über die Blockchain-Kopplung organisiert werden.
Technisch startet der Angriff den Angaben zufolge mit einer Manipulation legitimer Websites. In den kompromittierten Seiten wird manipulierte Logik in Form von Base64-JavaScript injiziert. Dieses JavaScript arbeitet nicht isoliert, sondern spricht über ein RPC-Gateway mit einem Smart Contract auf der BNB Smart Chain. Über diesen Umweg holen die Angreifer dann die nächsten Schritte der Kampagne ab – also in der Sprache klassischer Threat-Modelle die “Befehle”, die sonst oft von einem zentralen Server kämen. Genau hier liegt der Vorteil aus Angreifersicht: Blockchain-basierte Komponenten sind weniger leicht als einzelne Ziel-IP oder Domain zu “kappern”, weil die Interaktion eher über verteilte oder zumindest schwer greifbare Pfade läuft als über einen klaren, zentralen Endpoint.
Für die Ausführung auf dem Endgerät setzen die Angreifer zusätzlich auf Social Engineering im Browser. Microsoft beschreibt, dass Opfer auf den manipulierten Seiten durch gefälschte CAPTCHA-Abfragen dazu gebracht werden sollen, manuelle Befehle auszuführen. Diese Verzahnung aus technischer Nutzdaten-Injektion und menschlichem Klickpfad ist mehr als nur ein kosmetischer Umweg: Sie kann Sicherheitsmechanismen verwirren, weil sich Teile der Infektionskette scheinbar an normalem Nutzerverhalten orientieren. Damit entsteht eine Angriffslogik, die nicht vollständig ohne Interaktion funktioniert und zugleich die Schwelle für reine “Automations”-Signaturen erhöht.
Auf Windows zielt ClickFix nach Angaben von Microsoft Threat Intelligence auf die Verbreitung mehrerer Infostealer und Fernzugriffs-Komponenten. Genannt werden unter anderem Lumma Stealer, XWorm, AsyncRAT und MintsLoader. Für Sicherheitsverantwortliche ist dabei weniger die konkrete Kombination als das Muster relevant: Solche Programme sind häufig darauf ausgelegt, sensible Daten zu extrahieren, Session-Informationen abzugreifen oder später einen Fernzugriff auf das System zu ermöglichen. In Unternehmensumgebungen kann das in der Praxis bedeuten, dass selbst nach einem erfolgreichen Incident-Response-Eingriff weitere Spuren über unterschiedliche Malware-Varianten nachgelagert auftauchen – etwa durch unterschiedliche Persistenz-Mechanismen oder unterschiedliche Exfiltrationspfade.
Parallel dazu beobachteten Analysten auch eine spezielle macOS-Variante der Kampagne. Laut den beschriebenen Analysen nutzt diese mehr als 250 algorithmisch generierte Domains und wählt serverseitig aus, welche Schadsoftware tatsächlich den “echten macOS-Anwendern” angezeigt wird. Dieses Selektionsprinzip reduziert Reibung bei der Auslieferung und kann Fehlalarme senken, weil nicht jedes infizierte Umfeld sofort die volle Signaturlast ausspielt. In diesem Zweig kommen Programme wie MacSync und der Atomic Stealer (AMOS) zum Einsatz; zudem wird die macOS-Schadsoftware als in Go geschriebener Stealer eingeordnet. Im Fokus stehen demnach das Auslesen von Passwörtern aus Browsern sowie Daten aus dem Apple-Schlüsselbund. Ergänzend werden Umleitungen bei Kryptowährungs-Transaktionen oder sogar das Leeren von Wallets genannt, wobei ausdrücklich digitale Vermögenswerte wie Bitcoin, Ethereum, Litecoin, Dogecoin, Monero und XRP genannt werden. Als Infrastrukturkomponente wird ein über Aeza Group abgewickeltes Hosting beschrieben, das als sanktioniert eingeordnet ist.
Dass ClickFix nicht nur auf Blockchain und Web-Injektion setzt, zeigt auch die Detailtiefe der beschriebenen Umgehung von Sicherheitsmechanismen. Experten von Unit 42 identifizierten eine Variante, die legitime Systemdateien wie pcalua.exe sowie den WebDAV-Standard missbraucht. Der Ablauf wird als mehrstufig beschrieben: Zunächst startet das System pcalua.exe, anschließend folgen PowerShell-Befehle. Über Windows-Verwaltungsinstrumentierung (WMI) wird cmd.exe aufgerufen, um ein WebDAV-Verzeichnis über eine verschlüsselte HTTPS-Verbindung einzubinden. Abschließend wird eine bösartige DLL-Datei über rundll32 geladen. Für die Erkennung ist das vor allem deshalb heikel, weil sich einzelne Schritte in Datenquellen wie Prozessketten, Script-Ausführung oder Netzwerkzugriffe zerlegen, die für sich genommen oft noch nicht “alarmierend” wirken – die Kombination aber ein klarer Angriffsmuster-String ist.
Für die Verteidigung lässt sich daraus ein pragmatisches Bild ableiten: Teams müssen weniger auf einzelne klassische Indikatoren wie “ein bestimmter Command-and-Control-Server” setzen, sondern stärker auf Korrelation und Kontext. Wenn eine Kampagne über Smart Contracts und RPC-Zugriffe nächste Schritte organisiert, rückt die Frage nach Browser-Integrity, Netzwerkanomalien sowie nach ungewöhnlichen Interaktionsmustern in den Vordergrund. Ebenso wichtig ist eine konsequente Härtung von Endpunkten gegen mehrstufige Injektionsketten, etwa über restriktive PowerShell- und WebDAV-Nutzung, saubere WMI-Berechtigungen sowie ein Monitoring von rundll32-Lasten und Prozessanomalien. Für macOS gilt spiegelbildlich: Der Schutz des Schlüsselbunds, das Monitoring von verdächtigen Domain-Requests sowie die saubere Trennung von Benutzerrechten können im Zusammenspiel verhindern, dass ein Infostealer nach erfolgreicher Zustellung sofort verwertbare Geheimnisse findet.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "ClickFix-Malware: Blockchain-basiertes Kommandosystem trifft Windows- und macOS-Nutzer" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "ClickFix-Malware: Blockchain-basiertes Kommandosystem trifft Windows- und macOS-Nutzer" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »ClickFix-Malware: Blockchain-basiertes Kommandosystem trifft Windows- und macOS-Nutzer« bei Google Deutschland suchen, bei Bing oder Google News!