Die ClickFix-Aufforderungen erscheinen auf echten, kompromittierten Webseiten, in die bösartiges JavaScript als Base64-kodierter Datenblock eingeschleust wurde. Dieser Block holt weiteren JavaScript-Code aus einem Smart Contract in der Blockchain – eine Technik, die als EtherHiding bekannt ist – und führt ihn dynamisch aus.
In den vergangenen Monaten wurden die ClearFake-Kampagnen überarbeitet und nutzen nun “cdn.jsdelivr[.]net”, um den Schadcode der Angreifer zu hosten. Damit wird ein legitimes Content Delivery Network zum Ablageort für Schadsoftware. “Obwohl das CDN für das Hosten von JavaScript gedacht ist, nutzen die Angreifer es tatsächlich, um ihr bösartiges PowerShell-Skript abzulegen”, merkte Expel an. jsDelivr entferne die schädlichen Repositories zwar recht zügig, doch EtherHiding erlaube es den Tätern, verbrannte URLs mühelos gegen frische auszutauschen.
Der ClickFix-Befehl startet über “conhost” einen versteckten “cmd.exe”-Prozess, bindet mit pushd eine entfernte WebDAV-Freigabe ein und ruft den Loader schließlich per “rundll32.exe” auf. Dieser WebDAV-Ansatz überschneidet sich mit einer Kampagne, die Microsoft kürzlich beschrieben hat: Auch dort lädt rundll32.exe eine DLL von einer über HTTPS erreichbaren WebDAV-Freigabe; drei Varianten des Befehls wurden erfasst. “In der fortgeschritteneren Variante erhöhen die Angreifer die Tarnung zusätzlich, indem sie Befehle über conhost.exe –headless starten, sichtbare Konsolenfenster unterdrücken und Umgebungsvariablen mit verzögerter Variablenauflösung verschleiern, um zentrale Ausführungsbestandteile wie pushd, rundll32 und den Namen des entfernten Hosts zu verbergen”, so Microsoft. Das verringere die Sichtbarkeit für Nutzer und erschwere statische Analyse und Erkennung.
Der wesentliche Unterschied: Die Python-basierten Loader, die Microsoft zwischen Ende April 2026 und Mitte Juni 2026 im Zusammenhang mit der ACR-Stealer-Infektionskette beobachtete, wurden durch WordlistLoader ersetzt. ACR Stealer wurde außerdem über ClickFix-Aufforderungen verbreitet, die MSHTA starten, um entfernte HTA-Inhalte von einer Angreiferdomain zu laden. Ein VBScript-Loader führt daraufhin PowerShell aus, das ein JPEG von einem Bildhoster abruft und die Schadsoftware im Arbeitsspeicher extrahiert, um Spuren auf der Festplatte zu vermeiden.
WordlistLoader dient laut Gen Digital als Zwischenstufe, deren Hauptzweck es ist, einen Shellcode zu rekonstruieren, der als Einstiegspunkt für die folgenden Stufen fungiert. Über hardwarebasierte Haltepunkte umgeht der Loader Event Tracing for Windows (ETW). Seinen Namen verdankt er der Kodierung des Shellcodes als Folge einfacher englischer Wörter, wobei jedes Wort ein Byte darstellt; eine Variante ersetzt die Wortliste durch ein Array aus 16 Byte großen, UUID-kodierten Blöcken. Ein reflektiver Loader entpackt schließlich Amatera 4.3.3-alpha1 – derselbe reflektive Loader tauchte Ende April 2026 in einer weiteren ClickFix-Kampagne auf. Die neue Version bringt überarbeitete statische Verschleierung, gehärtete Syscall-Aufrufe über den WoW64-Übergang, dynamisch erzeugte indirekte x64-Syscall-Trampoline via Heaven’s Gate und eine neu gestaltete Umgehung der Application-Bound Encryption, die offenbar von Remus Stealer inspiriert ist.
SynkLoader wiederum wurde laut Expel Mitte August 2025 in einer Microsoft-Teams-Phishing-Kampagne entdeckt. “Jemand mit einer <Benutzername>@<Firma>.onmicrosoft.com-Adresse – der Standard-Maildomäne von Microsoft 365 für Unternehmen – kontaktierte die Zielperson unter dem Namen IT Service Desk (<Falscher Name>)”, berichtet Expel-Forscher Marcus Hutchins. Das Opfer wurde überredet, einen MSI-Installer von einem Azure-Speicherendpunkt zu laden, was der Datei den Anschein gab, von Microsoft zu stammen.
Der Installer gibt sich als “PowerShell Cleaner” aus, entpackt ein ZIP-Archiv und führt ein PowerShell-Skript im Arbeitsspeicher aus, das einen Python-Loader startet. Dieser wählt eine von drei fest einprogrammierten C2-Domänen, meldet sich zufällig beim Server und pausiert dazwischen 90 bis 120 Sekunden. Mindestens sieben Module wurden identifiziert; das Endziel der Betreiber ist unklar, vermutet wird eine Zugehörigkeit zu einer Ransomware-Gruppe oder einem Initial Access Broker.