LONDON (IT BOLTWISE) – Eine weit verzweigte ClickFix-Kampagne für macOS prüft Besucher per Browser-Fingerprinting, bevor sie eine Malware-Anweisung überhaupt ausliefert. Microsoft Threat Intelligence berichtet, dass mehr als 250 Frontend-Domains als wechselnde Köder dienen und das eigentliche Lure-Frontend serverseitig für Crawler und Sandboxes ausgeblendet bleibt. Der Qualifikations-Check umfasst unter anderem Platform-Strings, WebGL-Signale sowie Erkennung von Analyse-Umgebungen über Developer-Console-Status und Medien-Codec-Triager. Wer den gefälschten „macOS“-Download annimmt, muss weiterhin eine obfuscated Terminal-Kommandosequenz manuell ausführen, die anschließend AMOS-Infostealer nachlädt.
Microsoft Threat Intelligence beschreibt eine ClickFix-Operation, die für macOS in kurzer Zeit ihre Lieferkette spürbar „härtet“: Statt die bösartige Anleitung nur über wechselnde Domains zu verteilen, setzt das System nun vor der eigentlichen Lure-Seite ein serverseitiges Gate ein. Dieses Gate entscheidet pro Anfrage, ob der Besucher überhaupt eine Anleitung und einen gefälschten Download erhält oder ob er stattdessen eine leere Seite, eine zufällige Business-Antwort oder ein weiteres Ablenkungsziel sieht. Damit werden automatisierte Analyseschritte wie Crawling und Sandbox-Detektion gezielt unzuverlässig gemacht – nicht, indem der Payload-Teil neu erfunden wird, sondern indem die Observierbarkeit des Einstiegs sinkt.
Im Zentrum steht ein rund 2,5 KB großes JavaScript-Bundle, das Browser- und Gerätesignale sammelt und als Fingerprint an den Server übermittelt. Microsoft nennt konkret navigator-basierte Werte wie die Platform-Zeichenkette, die auf einem echten Mac typischerweise „MacIntel“ meldet, sowie Screen- und Window-Dimensionen. Zusätzlich nutzt das Skript WebGL-Graphics-Signale, um echte Apple-Hardware von virtuellen Maschinen oder Emulationen zu trennen. Ergänzend kommen Checks hinzu, die das Zeitverhalten (Zeitzone), die Einbettung in iframes sowie das Vorhandensein von Touch-Support bewerten – Merkmale, die bei Desktop-Macs in der Regel nicht zu den typischen Touch-Statistiken passen.
Für Analysten und Testroutinen setzt das Gate auf mehrere Tripwires. Ein Zähler erhöht sich offenbar, wenn die Browser-Developer-Console geöffnet ist, wodurch statische oder dynamische Analyse-Workflows auffällig werden können. Daneben wird ein Aufruf wie canPlayType(“video/mp4”) nicht zur Medienprüfung genutzt, sondern als plattformspezifischer Hinweis darauf, ob eine „stealth“ Browser-Umgebung in JavaScript Codec-Fähigkeiten nur vortäuscht. Auch die Implementierungsdetails deuten auf eine gezielte Ausblendlogik hin: Das Bundle ist mit mode: “php” getaggt und wird ohne weitere Benutzerinteraktion zurückgesendet; der Server entscheidet dann pro Request, welche Seite tatsächlich ausgeliefert wird. Das ist der Grund, warum zwei Besuche derselben Adresse unterschiedliche Inhalte liefern können – ein klassischer Stolperstein für „einmal analysiert, einmal gespeichert“-Workflows.
Microsoft ordnet die Kampagne einem Domain-Cluster zu, das während der Beobachtungsphase mehr als 250 Frontend-Domains umfasste. Viele dieser Domains folgen einem Muster, bei dem das Wort „file“ mit Wörterbuch-Begriffen kombiniert wird, wie etwa filecopperbasket[.]sbs oder applefilevault[.]com. Gleichzeitig betont die Quelle, dass dieser Namensbau nur ein Hunting-Lead ist. Der stärkere Signalgeber sei die Kombination aus wegwerfartiger Domain-Variabilität, gemeinsamem Infrastrukturverhalten und genau diesem Fingerprinting-Gate. Die eigentlich „harten“ Spuren liegen deshalb nicht primär im Frontend-Namen, sondern in der gemeinsamen Serverlogik, in den eingebetteten Formularen bzw. versteckten Fingerprint-Feldern sowie in artefaktischen Hinweisen wie dem mode: “php”-Marker und bestimmten Pfadbereichen der späteren Stage.
Der eigentliche Angriffsmechanismus bleibt dabei an der Benutzeraktion hängen: Selbst wenn die Lure-Seite wechselnd und für Crawler abgeschirmt ist, fordert die Kette weiterhin, dass Nutzer eine obfuscated Kommandozeile in Terminal kopieren und ausführen. Laut Microsoft lädt das Command danach Skripte nach und startet im nächsten Schritt den Infostealer AMOS (MacSync und Atomic Stealer werden als Teil des größeren Clusters genannt). Das Ganze zielt auf ein breites Spektrum sensibler Daten: Credentials, Browserdaten und Authentifizierungs-Speicher, aber auch Kryptowährungs-Wallets sowie weitere vertrauliche Dateien. Microsoft nennt dabei keine Opferzahlen, keine betroffenen Branchen und auch nicht die Identität der Operatoren; die technische Beschreibung konzentriert sich auf den Mechanismus und die Infrastrukturpfade. Das Gate wirkt deshalb eher wie eine Maßnahme gegen automatisierte Analyse als wie eine Änderung am Kern des Infostealers.
Für die Verteidigung leitet Microsoft eine praktisch umsetzbare Priorisierung ab: Nicht jede Wegwerf-Domain einzeln jagen, sondern das Fingerprinting-Gate und die daraus folgenden Infrastrukturpfade in den Mittelpunkt rücken. Besonders relevant sind Beobachtungen wie ungewöhnliche Terminal-Aktivität direkt nach einem Browserbesuch, etwa Muster mit curl in Verbindung mit zsh, Base64-Decoding, osascript sowie das Erstellen von Archiven. Zudem werden ausgehende HTTP-POST-Requests als Verbindungssignal zwischen dem Setup-Command und den nachgeladenen Stages betrachtet, insbesondere in Kombination mit einem zugehörigen /curl/-Pfad. Wer im SOC arbeitet, sollte außerdem auf „selbstübermittelnde“ Fingerprint-Formulare achten, auf versteckte Fingerprint-Felder und auf den mode: “php”-Artefakt; diese Kombination ist häufig stabiler als reine Domain-Indizes.
Für Endnutzer und Hardening-Strategien liefert der Kontext ebenfalls Ansatzpunkte. Apple hat macOS 26.4 am 24. März 2026 veröffentlicht und laut der zitierten Einordnung Schutzmechanismen detailliert beschrieben; Terminal zeigt demnach eine Bestätigung für Nutzer, die Terminal längere Zeit nicht genutzt haben und die aus typischen Eintragsquellen wie Browsern oder Messaging-Apps kopieren. Zusätzlich kann XProtect Commands erkennen, die in Terminal-Emulatoren eingefügt werden, Prozessbäume und Netzwerkartefakte inspizieren und Aktivitäten blockieren, die zu bekannten Schadprogrammen passen. In der zusammenfassenden Warnung, die Microsoft Security Research gemeinsam mit Srinivasan Govindarajan herausstellt, heißt es wörtlich: „An apparently benign or look-alike response does not mean the domain is safe“ – ein Satz, der die zentrale Denkregel bei ClickFix-Taktiken auf den Punkt bringt: Die Anzeige-Varianz ist Teil des Systems, nicht ein Beweis für Harmlosigkeit.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "ClickFix versteckt MacOS-Malware-Download per Browser-Fingerprinting-Gate" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "ClickFix versteckt MacOS-Malware-Download per Browser-Fingerprinting-Gate" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »ClickFix versteckt MacOS-Malware-Download per Browser-Fingerprinting-Gate« bei Google Deutschland suchen, bei Bing oder Google News!