LONDON (IT BOLTWISE) – Eine macOS-ClickFix-Operation setzt für mehr als 250 Domains auf Browser-Fingerprinting, um Besuchern gezielt Malware-Lures auszuspielen. Microsoft Threat Intelligence beobachtete dabei, wie ein serverseitiges „Gate“ die bösartigen Seiten vor Crawlern und Sandboxes verbergen kann. Die eigentliche Infektion verlangt weiterhin, dass Nutzer eine obfuscated Command in Terminal kopieren und ausführen. Erst danach lädt die Kette zusätzliche Skripte nach und startet mit AMOS einen Credential- und Infostealer-Prozess.
Die jüngste Beobachtung von Microsoft Threat Intelligence zeigt, wie aus einer klassischen ClickFix-Taktik eine deutlich „analystenresistente“ Zustelllogik wird: Statt die Malware-Lure-Seite einfach auf allen Zugriffsquellen gleich auszuliefern, entscheidet ein serverseitiges Gate für jede Anfrage individuell, ob überhaupt eine passende Anleitung erscheint. Das Ziel ist nicht nur Verdeckung, sondern die gezielte Auslieferung an Geräte, die sich nach internen Heuristiken als „echtes“ Mac-Umfeld anfühlen – während automatisierte Analyseumgebungen und unerwünschte Nutzerkontexte leer ausgehen. Microsoft ordnet die dahinterliegende Cluster-Chain den Payloads MacSync und Atomic Stealer (AMOS) zu und beschreibt, dass die untersuchte Kette über dieses Gate schließlich in AMOS mündet.
Technisch passiert die Weicheinordnung in der Antwortphase: Die Malware-Seite trägt laut Analyse einen Bundle-Modus „php“ und übermittelt etwa 2,5 KB JavaScript. Dieses Script liest aus dem Browser unter anderem den navigator-Plattformstring und erwartet bei einem realen Mac typischerweise „MacIntel“. Zusätzlich fließen Screen- und Fensterdimensionen ein sowie Signale aus WebGL, die helfen sollen, echte Apple-Hardware von virtuellen Maschinen oder emulierten Umgebungen zu unterscheiden. Ergänzend prüft die Logik die Zeitzone, ob die Seite in einem iframe „eingekapselt“ ist, und ob Touch-Unterstützung gemeldet wird – etwas, das auf Desktop-Macs in der Regel nicht vorkommt. Entscheidend für Abwehrteams sind dabei zwei gezielte Probes: Ein Zähler steigt, sobald in den Browser-Entwicklertools gearbeitet wird, und eine Umleitung über canPlayType(„video/mp4“) dient als Tripwire, um „stealthige“ Browser zu erkennen, die in JavaScript Codec-Support vortäuschen.
Die Sicherheitswirkung dieses Fingerprinting-Gates ist spürbar, weil es die typische Analysebrille verwirrt. Da die Entscheidung serverseitig für jede einzelne Anfrage getroffen wird, kann dieselbe Frontend-Domain bei zwei Besuchen völlig unterschiedliche Inhalte liefern: Ein Crawler oder Sandbox-Lauf kann eine leere Seite bekommen, eine scheinbare Browser-Erweiterung oder sogar einen themenfremden Business-Content. Umgekehrt erhält ein als passend eingestufter Besucher eine GitHub-nahe „Download for macOS“-Seite, inklusive eines gefälschten „Verified Publisher“-Badges. Microsoft betont gleichzeitig, dass eine „harmlos“ wirkende oder optisch ähnliche Antwort keinen Sicherheitsnachweis darstellt: Das Gate kann jede Antwortschicht austauschen, und die Verknüpfung zur eigentlichen Schadlogik liegt in der Kette dahinter.
Für die Infektionskette bleibt allerdings ein klassischer Schritt unverändert: Die Attacke verlangt weiterhin Benutzerinteraktion in Form eines Terminal-Kommandos. Sobald der Nutzer die obfuscated Command in Terminal kopiert und ausführt, kontaktiert die Kette einen Pfad im Stil „/curl/“, lädt weitere Skripte nach und startet anschließend AMOS. Dort geht es aus Microsoft-Sicht um das gezielte Ausspähen sensibler Daten, konkret um Credentials, Browserdaten, Authentifizierungs-Speicher, Kryptowallets sowie weitere Dateien. Damit ist klar, warum das Gate zwar die „Lure-Verteilung“ steuert, aber die eigentliche Kompromittierung nicht ohne den Nutzer auskommt: Der entscheidende Schutzhebel liegt in der Unterbindung genau dieses Kopier-und-Ausführ-Schritts.
In der Detailauswertung beschreibt Microsoft, dass die Infrastruktur im Verlauf der mehrwöchigen Überwachung mehrfach angepasst wurde. In früheren Seitenvarianten seien ClickFix-Anweisungen, Clipboard-Logik, das obfuscated Shell-Kommando sowie eine kodierte Staging-Adresse direkt im HTML enthalten gewesen – so, dass statische Scanner die relevanten Muster typischerweise rekonstruieren konnten. Das Gate verlagert diese Eigensicherung nun in den dynamischen Pfad: Das Skript wird als „mode: php“ zurückgeschickt und ohne weitere Benutzerinteraktion verarbeitet, während die echten Fingerprint-Felder beim Client in Richtung Server wandern. Entsprechend formuliert Microsoft auch die operative Empfehlung für Defender: nicht primär einzelne Wegwerf-Domains hinterherjagen, sondern die Fingerprinting-Struktur und das gemeinsame Staging-Backbone abbilden, etwa durch das Monitoring von self-submitting Fingerprint-Forms, versteckten Fingerprint-Feldern und Artefakten wie „mode: php“.
Für die praktische Jagd schlägt die Analyse konkrete Verhaltensmuster vor, die nach dem Browserbesuch in der Hostaktivität auffallen können. Dazu gehören ungewöhnliche Terminal-Aktivitäten, besonders wenn „curl“ in zsh gepiped wird, plus typische Folgeoperationen wie Base64-Decoding, osascript-Aufrufe und das Erzeugen von Archiven, begleitet von ausgehenden HTTP-POST-Requests. Zusätzlich gilt: Wenn die Abfrage nach einem korrespondierenden „/curl/“-Pfad erfolgt, ist das ein stärkerer Hinweis als der reine Look-and-feel einer Frontend-Domain. Microsoft bestätigte im Tracking-Fenster mehr als 250 Frontend-Domains, wobei viele eine „file“-Anmutung mit Wörterbuchbegriffen kombinieren; genannt werden Beispiele wie filecopperbasket[.]sbs und applefilevault[.]com. Das Muster versteht Microsoft dabei explizit als Hunting-Lead – die belastbarere Signatur sei das Zusammenspiel aus Wegwerf-Namensgebung, gemeinsamem Infrastrukturverhalten und dem Fingerprinting-Gate.
Auch das Betriebssystem-Umfeld liefert einen weiteren Kontext, denn macOS hat Sicherheitsbarrieren gegen genau dieses Nutzerverhalten adressiert. Apple veröffentlichte macOS 26.4 am 24. März 2026 und dokumentierte die Schutzmechanismen am 3. August im Detail. Unter anderem zeigt Terminal laut Beschreibung eine Bestätigungsaufforderung für Nutzer, die Terminal länger nicht geöffnet haben, keine gängigen Entwickler-Tools verwenden und Inhalte aus Browsern oder Messaging-Apps einfügen. Ergänzend kann XProtect Commands nachvollziehen, die in Terminal-Emulatoren eingefügt werden, den Prozessbaum und Netzwerkartefakte inspizieren und Aktivitäten blockieren, die zu bekannten Schadprogrammen passen. Microsofts Bericht lässt zugleich offen, wie groß der Kampagnenumfang war und wer die Betreiber sind; die veröffentlichte Evidenz spricht aber dafür, dass das Gate primär ein Gegenmittel gegen automatisierte Analyse ist, während die zentrale Nutzerroutine – das Kopieren und Ausführen des Befehls – erhalten bleibt. Wer diesen Schritt konsequent verweigert, entzieht der Kette damit weiterhin die Voraussetzung, selbst wenn sich die „Lure“-Oberfläche ständig anpasst.
Für Unternehmen und Sicherheitsteams bedeutet das: Die härteste Arbeit verlagert sich vom Domain-Wildwuchs hin zur Verhaltens- und Infrastruktur-Triage. Browserbasierte Fingerprints sind zwar ein Härtungshebel gegen Crawler, aber sie hinterlassen am Ende eindeutige Spuren in Client-to-Server-Formularen, versteckten Feldern und serverseitigen Antwortselektionen. In Kombination mit Terminal-Telemetrie lassen sich Lure-Events dann als „Kette“ rekonstruieren, statt nur als einzelne harmlose Downloads. Damit rückt auch die organisatorische Konsequenz näher: Awareness allein reicht nicht, solange Endpunkte das Einfügen und Ausführen von obfuscated Befehlen weiterhin ermöglichen. Zielgerichtet ist daher vor allem die Kopplung aus Browser-Schutz (Erkennung des Fingerprinting-Gates und der versteckten Felder) und Hostschutz (Monitoring von curl|zsh, Base64-Decoding, osascript, Archivierung sowie ausgehenden HTTP-POSTs), um die Attacke bereits vor der Code-Nachladephase zu stoppen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "ClickFix nutzt Browser-Fingerprinting: Gate blendet macOS-Malware-Lures vor Analysis aus" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "ClickFix nutzt Browser-Fingerprinting: Gate blendet macOS-Malware-Lures vor Analysis aus" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »ClickFix nutzt Browser-Fingerprinting: Gate blendet macOS-Malware-Lures vor Analysis aus« bei Google Deutschland suchen, bei Bing oder Google News!