LONDON (IT BOLTWISE) – Sicherheitsforscher zeigen, dass ClickFix seine schädlichen Befehle nicht mehr nur lokal ausliefert, sondern per API-Server on demand bereitstellt. Dadurch erhält jeder Besucher eine andere „Verkleidung“, während das zugrunde liegende Script vergleichbar bleibt. Zusätzlich drängt eine neue Downloads-Ordner-Variante die Ausführung näher an AMSI vorbei, weil das Clipboard nur eine harmlose Orchestrator-Zeile enthält. Für Security-Teams verschiebt sich der Fokus damit noch stärker von Textsignaturen hin zu Prozessketten und Nutzerverhalten.
ClickFix war lange als „Trick zum Selber-Ausführen“ bekannt: Eine Seite gaukelt Nutzerinnen und Nutzern eine Aktion wie „Bitte beweisen, dass Sie kein Roboter sind“, versteckt JavaScript und fordert dann Tastenkombinationen, Copy-and-Paste und Enter. Das zentrale Problem für Verteidiger: In der ersten Phase sieht es häufig nach normalem Browser- oder Nutzerverhalten aus, ohne klassische Exploit-Signaturen. Neue Auswertungen zeigen nun, dass ClickFix im Hintergrund eine Art Backoffice entwickelt hat – und dass dieses Backoffice die Zustellung der Payloads deutlich dynamischer macht. Genau an diesem Punkt wird die Abwehrstrategie anspruchsvoller, weil sich die Muster zur Laufzeit verschieben.
Der Security-Forscher Bert-Jan Pals hat dafür mehrere ClickFix-Plattformen zerlegt und rund 3.000 Payloads aus realen Kampagnen analysiert. Seine Ergebnisse präsentierte er im Frühsommer und veröffentlichte sie Ende Juni. Technisch bleibt das Grundprinzip identisch: Eine präparierte Seite liefert zwar keine „echte“ CAPTCHA-Antwort, aber ein geführtes Skript, das einen Befehl ins Clipboard schreibt. Neu ist jedoch, dass die schädlichen Befehle nicht starr in der Seite stecken. Stattdessen ziehen die Seiten die eigentlichen Kommandos von Backend-Servern, die als auf Anfrage arbeitender Payload-Dienst funktionieren. Requests werden tokenbasiert geprüft, protokolliert und dann mit einem neu verschlüsselten bzw. ummantelten Kommando beantwortet.
Aus Verteidigersicht ist die Verschleierung vor allem deshalb relevant, weil Pals bei einzelnen Anfragen jeweils 100 unterschiedliche Payload-Varianten gesehen hat, die dennoch auf dasselbe Kernskript entpacken. Die „Disguise-Schicht“ rotiert über mehrere Verpackungsmechanismen: Base64 und verschiedene Verschlüsselungs-/Kompressionsbausteine wie AES, TripleDES, Rijndael und Deflate tauchen in wechselnder Kombination auf. Erst das Entfernen dieser Hülle macht das eigentliche Skript sichtbar. In der Beobachtung wird dieses dann in-memory über eine PowerShell-Runspace ausgeführt. Das ist ein Sicherheitsproblem, das über reine Signaturen hinausgeht: Selbst wenn ein einzelner Hash nicht wiederkehrt, bleibt die Verhaltenslogik vergleichbar – nur das äußere Gewand ist wechselhaft.
Markt- und Bedrohungskontext verschärfen die Lage. Branchenberichte und Sicherheitsmessungen deuten auf einen deutlichen Anstieg hin: Ein europäischer Endpoint-Schutzanbieter hat für den Zeitraum von Ende 2024 bis in die erste Hälfte 2025 einen Sprung von 517% gemeldet. Zusätzlich ordnet der 2025er Digital Defense Report von Microsoft ClickFix in rund 47% der beobachteten Initial-Access-Fälle ein, wie aus den Defender-Expert-Analysen hervorgeht. Auf Framework-Ebene wird die Technik zudem formal adressiert: In MITRE ATT&CK taucht das Muster inzwischen unter T1204.004 auf. Damit nähert sich ClickFix nicht nur einer operativen Reife an, sondern auch einem Standardisierungsgrad, der sich gut in Angriffsketten einbetten lässt.
Wichtig ist außerdem, dass es nicht „nur“ um eine Trickvariante geht. Laut den Untersuchungen werden ClickFix-Builder bereits als fertige Komponenten weiterverkauft – also als kommerzialisierte Angriffsbausteine. Pals beschreibt darüber hinaus eine zweite Kommerzialisierungsebene: Wie die Payloads pro Request „gechurned“ werden. Parallel dazu hat Proofpoint staatlich unterstützte Akteurscluster mit ClickFix in Verbindung gebracht, darunter auch Teams, die in früheren Intrusionswellen bereits als APT28 oder MuddyWater bekannt wurden. Auch nordkoreanische Strukturen sollen eine „ClickFake Interview“-Variante genutzt haben, um Beschäftigte im Kryptowährungsumfeld zu treffen. Das Muster erinnert weniger an eine einmalige Kampagne und mehr an eine wiederverwendbare Lieferkette, die sich mit geringem Zusatzaufwand skalieren lässt.
Die zweite große Erkenntnis betrifft die Ablage im Clipboard. Wo klassische ClickFix-Varianten einen bösartigen Befehl direkt kopierten, arbeiten neuere Seiten mit einem zweistufigen Ansatz: Sie kopieren nur eine kurze „Orchestrator“-Zeile, die zunächst eine Datei in den Downloads-Ordner schreibt oder herunterlädt. Erst diese heruntergeladene Datei enthält den „eigentlichen“ schädlichen Code und wird anschließend in einer zweiten Stufe ausgepackt und ausgeführt. Für Verteidiger heißt das: Der Clipboard-String ist nicht mehr der unmittelbare Schadcode, sondern nur ein Transport- und Startmechanismus. In der Beobachtung soll diese Vorgehensweise helfen, an AMSI (Antimalware Scan Interface) vorbeizugleiten bzw. dessen Scan-Fenster zu entkoppeln, weil die ausführbare Logik in der heruntergeladenen Datei sitzt und nicht als direkter Payload-Text im Clipboard erscheint.
Ein anschauliches Beispiel aus den Beobachtungen zeigt den Charakter dieser Orchestrator-Zeile: Sie verschiebt/benennt ein ZIP-Archiv in einen temporären Pfad, entpackt es, startet eine Headless-Instanz von PowerShell mit einer Execution-Policy-Bypass-Option und verweist dann auf eine temporäre Scriptdatei. Auffällig ist dabei weniger die konkrete Zeichenkette, sondern die Kette aus Operationen: Dateioperation im Downloads-/Temp-Kontext, Entpacken, dann in-memory oder zumindest scriptgesteuerte Ausführung. Genau hier liegt eine technische Vergleichsfolie, die Verteidiger nutzen können: Während „on-device“ Signaturen auf statische Skriptinhalte zielen, müssen die Erkennungen stärker auf die Kombination aus Prozessstart (Explorer/Windows Terminal), Interpreteraufruf (PowerShell/cmd/msiexec) und nachfolgendem Netzwerkzugriff reagieren.
Hinzu kommt, dass sich auch der „Call-to-Action“-Part der Social-Engine weiterentwickelt. Die ursprüngliche Version setzte häufig auf Windows+R und die Run-Box; neuere Varianten führen vermehrt zu Windows+X und dem Windows Terminal. Das wirkt trivial, hat aber Folgen: Die RunMRU-Indikatoren in der Registry, die Ermittler traditionell prüfen, können dabei ausbleiben, weil die Nutzerinteraktion nicht über dieselbe Spur läuft. ClickFix passt damit seinen sichtbaren Anker an die Nachweisbarkeit an. In der Praxis wird aus dem Angriff damit eine Art adaptiver Ablauf: Erst Social Engineering, dann clipboardbasierte Initialisierung, dann interpretergestützte Ausführung – und die Tools wählen den Pfad so, dass Monitoring-Lücken maximal ausgenutzt werden.
Für die Verteidigung bleibt die Grundregel gleich, aber sie wird präziser. Pals betont, dass man nicht nur Clipboard-Text absuchen sollte, sondern Prozessketten: typischerweise startet explorer.exe oder WindowsTerminal.exe eine PowerShell- oder cmd.exe-Instanz, oft gefolgt von msiexec.exe, und kurz danach erfolgt Netzwerkkommunikation. In den Daten lagen PowerShell und cmd bei etwa 39% Anteil, msiexec folgte dicht dahinter mit rund 34%. Zusätzlich helfen Behavioral-EDR, Anwendungskontrollrichtlinien, die den Zugriff auf Skript-Interpreter einschränken, sowie klare Nutzerführung („Befehle, die man zum Ausführen bekommt, nie in Run oder ein Terminal einfügen“). Die Downloads-Methode fügt eine zweite Jagdstrategie hinzu: ein unauffälliger One-Liner, der auf den Downloads-Ordner zugreift und anschließend versteckte PowerShell-Prozesse nachzieht.
Für Blue Teams ist darüber hinaus wichtig, IOCs nicht zu überschätzen. Pals nennt in den Untersuchungen auch mehrere Payload-Server, deren Erreichbarkeit jedoch nicht als Beweis für eine Infektion taugt. Vielmehr deutet ein Kontakt darauf hin, dass sehr wahrscheinlich ein Befehl ins Clipboard platziert wurde. Der wichtigste operative Punkt ist deshalb, dass Erkennung und Incident Response eng an das Timing und die Sequenz gebunden werden: Wenn ein Interpreter startet, Dateien in temporäre bzw. Downloads-Pfade schreibt, entpackt und danach mit dem Netzwerk spricht, sollte das zu einer Untersuchung führen – unabhängig davon, welche Verschleierung gerade aktiv ist. Pals’ Fazit ist entsprechend deutlich: „ClickFix is here to stay.“
Blick nach vorn: Die nächste Anpassungsrunde wird voraussichtlich weniger „Wrapper-Wechsel“ als vielmehr inkrementelle Änderungen am Kernverhalten bringen. Pals warnt, dass sich das Kern-Default-Skript perspektivisch pro Opfer verändern könnte. Damit verschiebt sich der Schwerpunkt von statischen Artefakten hin zu resilienten Detection-Mustern, die Interpretationstechniken abbilden: Welche Parameter werden an PowerShell übergeben, welche Child-Prozesse entstehen, wie wird aus heruntergeladenen Dateien ausgeführt, und wie schnell folgt die Netzwerkkommunikation. Für Entwickler von EDR- und SIEM-Logik bedeutet das eine stärkere Priorisierung von Prozessgraphen und Korrelation statt reiner Textsuche. Für Unternehmen heißt es: Policies sollten Skriptinterpreter restriktiv behandeln, Terminal-/Run-Prozesse überwachen und Nutzertrainings aktualisieren, sobald neue Social-Engine-Varianten auftauchen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "ClickFix verlagert Malware-Payloads auf API-Server und umgeht Windows-Scans" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "ClickFix verlagert Malware-Payloads auf API-Server und umgeht Windows-Scans" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »ClickFix verlagert Malware-Payloads auf API-Server und umgeht Windows-Scans« bei Google Deutschland suchen, bei Bing oder Google News!