Die HTML-Seite bringt sowohl die Anzeigelogik für die vorgetäuschte CAPTCHA-Prüfung mit als auch den JavaScript-Code, der eine Anfrage an einen entfernten Server sendet. In frühen Varianten führte diese Anfrage zu einer Typosquat-Domain, die die Microsoft-Anmeldeseite imitierte (“login[.]microsofte[.]live”).
Nachdem diese Domain in die Sperrliste von Google Chrome Safe Browsing aufgenommen worden war, reagierten die Angreifer laut OX Security mit einem Wechsel zu KeyVal (“api.keyval[.]org”) – einem kostenlosen, öffentlichen Schlüssel-Wert-Speicher, in dem Entwickler über eine REST-API Paare ablegen und Werte abrufen können. Der legitime Dienst wird damit zum Dead Drop Resolver: Aus ihm liest die Seite die Ziel-URL aus und dekodiert sie, bevor das Opfer weitergeleitet wird.
Aktuell endet diese Weiterleitung bei der echten ChatGPT-Website. Die Forscher betonen jedoch, dass die Fernsteuerung jederzeit umkonfiguriert werden könnte, um ClickFix oder beliebige andere Phishing-Domains auszuliefern.
Neu ist die Grundidee nicht. Im Oktober 2025 hatte Socket 175 npm-Pakete beschrieben, die das Content Delivery Network von unpkg.com nutzten, um Weiterleitungsskripte zu hosten und Opfer auf Seiten zum Abfischen von Zugangsdaten zu lenken – die Kampagne wurde unter dem Namen Beamglea geführt.
OX Security sieht darin ein Muster: Angreifer fänden immer neue Wege, nicht nur Schadsoftware zuzustellen, sondern legitime Infrastruktur zur Ablage ihrer Nutzlasten und Daten zu verwenden. Wer Schadsoftware ausschließlich als Codefamilien begreife, die Daten direkt vom ausführenden Rechner abziehen, übersehe leicht andere Ansätze – etwa den Missbrauch von Infrastruktur, die Nutzung von npm und seinen Spiegeln als kostenlosen Speicher und die damit verbundene Dauerhaftigkeit: npm-Pakete können in Spiegeln praktisch unbegrenzt weiterleben, selbst wenn sie in den offiziellen Registries längst entfernt wurden.
Genau dieser Punkt macht die Technik aus Verteidigersicht unangenehm. Die eigentliche Schadkomponente ist unauffällig – eine statische HTML-Datei in einem npm-Paket, die beim Installieren nichts tut. Ihre Wirkung entsteht erst dort, wo ein Spiegeldienst den Paketinhalt als Webseite ausliefert und der Angreifer dadurch eine vertrauenswürdige Domain vor seine Phishing-Kette schalten kann.