Bei ClickFix-Kampagnen landen Nutzer auf einer kompromittierten oder von Angreifern kontrollierten Website und werden aufgefordert, einen Befehl in den Windows-Ausführen-Dialog oder das Terminal von macOS einzufügen. Der Befehl kontaktiert in der Regel einen Server der Angreifer, von dem Infostealer oder andere Schadsoftware nachgeladen werden. Der Name rührt daher, dass den Opfern eine Anleitung präsentiert wird, mit der sie ein angebliches Problem “beheben”, einen Verifizierungsschritt abschließen oder einen Browserfehler beseitigen sollen. Eine Variante lockt Betroffene in eine gefälschte Zoom-Konferenz im Browser, in der angeblich Ton- oder Videoprobleme auftreten, die sich nur per eingefügtem Befehl lösen lassen.
Die von Microsoft als TerminalFix bezeichnete Kampagne setzt am selben Punkt an, verlagert die Ausführung aber bewusst in die PowerShell. Während sich über den Ausführen-Dialog nur ein kurzer Downloader starten lasse, könnten im Terminal längere und komplexere Skripte zuverlässig ablaufen – nach Einschätzung des Unternehmens ein Grund dafür, dass sich damit größere Unternehmen leichter angreifen lassen als mit einer “geradlinigen” ClickFix-Attacke.
Die Angriffskette selbst beschreibt Microsoft als aufwendig: Der initiale PowerShell-Befehl lädt ein ZIP-Archiv mit einer schädlichen DLL für Sideloading herunter und startet es. Weitere Nutzlasten werden in PNG-Bildern versteckt nachgeladen. Die Angreifer verankern sich doppelt – über Registry-Run-Schlüssel und geplante Aufgaben –, führen eine Domänenaufklärung durch und setzen laut Microsoft-Blogbeitrag ein “Python-basiertes Reverse-Tunnel-C2-Implantat” ein, das beliebigen TCP-Verkehr über einen verschlüsselten WebSocket-Kanal zur Infrastruktur der Angreifer zurückleitet.
Genau diese Rückkanäle machen die Kampagne aus Sicht der Microsoft-Forscher “besonders gefährlich”, weil sie den Tätern direkten Zugriff auf die internen Netzwerke der betroffenen Organisationen verschaffen. “In der typischerweise folgenden Phase der manuellen Steuerung nutzen die Angreifer diesen Zugang, um Rechte auszuweiten, Sicherheitsmechanismen abzuschalten, sensible Daten abzuziehen und Ransomware in der gesamten Organisation auszurollen”, schreiben sie. Die Kombination aus Tarntechniken – DLL-Sideloading, Steganografie, versteckte Ordner – und dauerhaftem Netzwerkzugang mache TerminalFix zu einer ernsten Bedrohung für Unternehmensumgebungen.
Am Etikett gibt es allerdings Kritik. Proofpoint-Forscher Tommy Madjar verweist gegenüber Dark Reading darauf, dass Terminal-Fenster bereits in den frühesten dokumentierten ClickFix-Aktivitäten des Jahres 2024 vorkamen. “Ein Terminal kann längere, mehrzeilige Skripte annehmen”, sagt er, “aber dieselbe mehrstufige Kompromittierung könnte ebenso gut mit einem kurzen, in den Ausführen-Dialog eingefügten Befehl beginnen, der die nächste Stufe nachlädt.” Zusammen mit dem einfachen HTML-Köder und dem Ausführungsablauf hebe sich Microsofts Beispiel nicht von etablierten Clustern wie ClearFake oder ErrTraffic ab.
Microsoft empfiehlt Organisationen, die Ausführung von PowerShell und dem Ausführen-Dialog für Standardnutzer per Gruppenrichtlinie, Application Control for Windows oder AppLocker einzuschränken, den Ausführen-Dialog dort zu sperren, wo er im Alltag nicht gebraucht wird, und auf Anzeichen für DLL-Sideloading zu achten. Da ClickFix eine Social-Engineering-Technik ist, rät das Unternehmen zusätzlich zur Schulung der Beschäftigten.
Madjar hält breite Sperren von Ausführen-Dialog und Terminal für “selten praktikabel”: Viele legitime Softwareinstallationen setzten darauf, dass Nutzer Befehle direkt im Terminal ausführen – als aktuelles Beispiel nennt er Claude Code, dessen empfohlene Installationsmethode Code herunterlädt und ausführt, ohne den Nutzer zuvor zur Prüfung aufzufordern. Die Verteidigung solle sich deshalb darauf konzentrieren, Nutzer zu schulen, keine von nicht vertrauenswürdigen Websites kopierten Befehle auszuführen, schädliche Seiten vorab zu blockieren und verdächtige Ausführungen zu erkennen, wenn die Prävention versagt.