Die erste Kampagne richtet sich direkt gegen den Browser. Statt wie bei klassischen ClickFix-Angriffen PowerShell-Befehle auf dem Betriebssystem ausführen zu lassen, sollen die Opfer bösartigen Code in ihre eigene Browsersitzung einspeisen. „Die Akteure hinter dieser Kampagne wollen den Nutzer dazu bringen, schädlichen Code in die eigene Browsersitzung einzufügen“, erläutert Sean Gallagher, Security Research Engineer bei Cisco Talos, im Bericht. Der Code verändert Oberflächen für Transaktionen in Chrome oder wird über eine Browsererweiterung nachgeladen, um Kryptowährung abzuziehen.
Laut Talos begann diese Aktivität bereits im Oktober 2025 mit Ködern, die zum Einfügen eines Code-Schnipsels in die Navigationsleiste von Chrome verleiteten. Bis März 2026 entwickelte sich die Kampagne deutlich weiter: Die Angreifer setzten auf das legitime Chrome-Plug-in TamperMonkey, um ein vom Nutzer eingefügtes Ladeskript einzuspeisen und Persistenz über mehrere Sitzungen hinweg auf der jeweils angegriffenen Website zu erreichen. Spätere Varianten nutzten zudem die Google Visualization API, um Schadskripte aus einem Google-Sheets-Dokument auszuliefern. Nachdem ihre Beiträge auf öffentlichen Textablage-Diensten wiederholt entfernt wurden, verlagerten die Täter im Juli alle Komponenten der Kampagne nach Google Docs und Google Sheets. Der Rückgriff auf ein öffentlich zugängliches Google Sheet, aus dem Opfer den Browsercode selbst holen und eingeben, weicht vom üblichen ClickFix-Muster ab.
Die zweite Untersuchung nahm im April 2026 ihren Ausgang bei einer ukrainischen Regierungsorganisation, wo eine DLL namens verification.google über WebDAV ausgeführt wurde. Talos verfolgte die Spur zu einer kompromittierten Website, die ein gefälschtes Google-CAPTCHA anzeigte und Besucher dazu brachte, einen Befehl in den Windows-Ausführen-Dialog zu kopieren. Dieser Befehl lädt eine getarnte DLL über WebDAV und startet den Infostealer Amatera, der Kryptowährungsdaten, Zugangsdaten, Browserinformationen und sensible Dateien abgreifen kann. Ein Zweig der Schadsoftware installierte zusätzlich einen Kryptowährungsdieb und einen Reverse-Proxy, ein anderer NetSupport Manager, wodurch die Angreifer Fernsteuerung über das infizierte System erhielten. Hinter dem Angriff auf die ukrainische Behörde steht laut Bericht ein russischer Akteur.
Auch wenn eine einzelne Organisation den Anstoß zur Analyse gab, kamen die Forscher zu dem Ergebnis, dass „die Angriffe nicht auf eine bestimmte Organisation gerichtet sind, sondern Teil einer Operation zum Diebstahl von Kryptowährung und Zugangsdaten mit dem Amatera-Stealer als primärer Nutzlast“ seien, schreibt Svajcer.
ClickFix wurde erstmals vor etwa zwei Jahren von Forschern bei Proofpoint beobachtet und ist seither in der Cyberkriminalitätsszene weit verbreitet. Denis Calderone, Principal und CTO bei Suzu Labs, verweist darauf, dass beide Kampagnen Dienste missbrauchen, denen Verteidiger bereits vertrauen – Google Sheets, Cloudflare Workers, öffentliche Blockchain-Endpunkte – und diese zur Steuerung nutzen: „Der bösartige Verkehr sieht wie normale Geschäftsaktivität aus, deshalb greift domainbasiertes Blockieren hier nicht.“
Cisco Talos veröffentlichte in beiden Berichten Kompromittierungsindikatoren. Zudem empfehlen die Forscher, Browser der Nutzer strenger zu verwalten und Entwicklerfunktionen sowie den Einsatz von Erweiterungen rollenbasiert einzuschränken: „Verteidiger sollten den Browser als verwaltete Ausführungsumgebung behandeln, nicht bloß als Werkzeug, um Websites zu erreichen“, so Svajcer. Nutzer sollten außerdem wissen, dass kein legitimes CAPTCHA, kein Verifizierungs- oder Support-Prozess und kein Schwachstellenbericht verlange, Code in die Adressleiste, eine Erweiterung, den Ausführen-Dialog, PowerShell oder ein Terminal einzufügen.