Was ist ClickFix (und FileFix)?
von
Zuletzt aktualisiert: 11 Lesezeit: 11 Minuten
Wichtigste Erkenntnisse
- ClickFix ist eine Täuschungstechnik, mit der Nutzer dazu verleitet werden, bösartige Befehle, die im Hintergrund in die Zwischenablage kopiert wurden, manuell über native Betriebssystem-Dienstprogramme auszuführen.
- Die weiterentwickelte FileFix-Variante umgeht administrative Befehlsblöcke, indem sie die Opfer dazu verleitet, schädlichen Code in die Adressleiste des Windows-Datei-Explorers einzufügen.
- Da es sich bei diesen Angriffen um dateilose Angriffe handelt, die aktive Endpunkte nach der Authentifizierung ausnutzen, können sie herkömmliche Antiviren-Scanner, EDR-Plattformen und die Multi-Faktor-Authentifizierung erfolgreich umgehen.
- Dieser Vektor hat sich zu einem bevorzugten Werkzeug für den Erstzugang entwickelt, das sowohl von opportunistischen Cyberkriminellen, die Daten stehlen, als auch von hochentwickelten Spionagenetzwerken von Staaten eingesetzt wird.
- Um Unternehmen vor dieser Bedrohung zu schützen, müssen risikoreiche Schnittstellen über Gruppenrichtlinien eingeschränkt, Verhaltensauffälligkeiten an Endgeräten überwacht und kontextspezifische Schulungen für Mitarbeiter angeboten werden.
Sie klicken auf „Ich bin kein Roboter“, doch statt eines grünen Häkchens erscheint eine Fehlermeldung, die Sie auffordert, einen kurzen manuellen Verifizierungsschritt durchzuführen. Ohne Ihr Wissen hat das auf dieser Seite ausgeführte JavaScript bereits einen versteckten, bösartigen Befehl direkt in die Zwischenablage Ihres Computers kopiert. Die Aufforderung weist Sie an, den Windows-Dialog „Ausführen“ zu öffnen, den Text einzufügen und die Eingabetaste zu drücken, um das Problem zu „beheben“.
Dies ist der Mechanismus hinter ClickFix, einer gefährlichen Social-Engineering-Technik, die in den letzten zwei Jahren in der gesamten Bedrohungslandschaft explosionsartig verbreitet war. Zusammen mit seiner neueren, noch heimlicheren Variante namens FileFix hat dieser Angriffsvektor traditionelle Verteidigungsmodelle auf den Kopf gestellt.
Was einen ClickFix-Angriff für Sicherheitsteams so besonders frustrierend macht, ist das völlige Fehlen herkömmlicher Indikatoren für eine Kompromittierung. Es gibt keinen Download einer schädlichen Datei, der abgefangen werden könnte, keine ausgenutzte Software-Sicherheitslücke und keine geknackten Passwörter.
Was ist „ClickFix“ im Bereich der Cybersicherheit?
ClickFix ist eine dateilose Social-Engineering-Technik, bei der eine kompromittierte oder bösartige Webseite einem Nutzer eine irreführende Fehlermeldung, ein gefälschtes CAPTCHA oder eine Verifizierungsaufforderung anzeigt.
Sicherheitsforscher haben diese spezielle Technik erstmals im Jahr 2024 dokumentiert. Sie entwickelte sich aus einer früheren, primitiveren Vorläuferversion namens „ClearFix“, die bereits im Oktober 2023 entdeckt wurde. Der Name „ClickFix“ ist zwar keine offizielle Standardbezeichnung der Branche, wurde jedoch schnell zum gängigen Begriff in der gesamten Cybersicherheitsbranche, als die Bedrohung im Laufe der Jahre 2024 und 2025 immer mehr an Bedeutung gewann.
Dieser psychologische Trick basiert vollständig auf den Gewohnheiten der Nutzer. Die Menschen sind darauf konditioniert, Bestätigungsfelder anzuklicken und kleinere Browserfehler selbst zu beheben, um zu den Inhalten zu gelangen, die sie tatsächlich sehen möchten. ClickFix macht sich genau diesen Reflex zunutze, indem es eine sofortige Lösung für ein künstlich erzeugtes technisches Hindernis anbietet.
Warum umgeht ClickFix herkömmliche Sicherheitsprogramme?
Herkömmliche Unternehmensschutzmaßnahmen sind darauf ausgelegt, nach schädlichen Payloads zu suchen, die in den Netzwerkperimeter eindringen. ClickFix umgeht diese Architekturen mühelos dank mehrerer deutlicher operativer Vorteile:
- Sichere E-Mail-Gateways, statische Antiviren-Engines und viele Endpoint-Detection-and-Response-Plattformen haben absolut nichts zu analysieren, da in der ersten Phase des Angriffs tatsächlich keine ausführbaren Dateien heruntergeladen oder als Anhang versendet werden.
- Der missbrauchte Clipboard-Befehl nutzt vertrauenswürdige, vorinstallierte Systemdienstprogramme wie PowerShell, die Windows-Eingabeaufforderung oder das macOS-Terminal, um seine Aufgaben auszuführen. Denn IT-Administratoren verwenden genau diese Tools tagtäglich für legitime Vorgänge.
- MFA dient dazu, den identitätsbasierten Zugriff während einer Anmeldesitzung zu sichern. Ein ClickFix-Angriff zielt direkt nach erfolgter Authentifizierung auf die aktive Endpunkt-Sitzung ab, sodass selbst die strengsten MFA-Richtlinien die Ausführung nicht verhindern können.
Wie funktioniert ein ClickFix-Angriff Schritt für Schritt?
Eine aktive ClickFix-Kampagne verläuft in der Regel in fünf unterschiedlichen taktischen Phasen:
Schritt 1: Der Köder
Der Angreifer verschafft sich Zugriff auf eine legitime Website (häufig durch das Kompromittieren schlecht gesicherter WordPress-Seiten oder Werbenetzwerke) oder richtet eine eigens dafür vorgesehene bösartige Domain ein. Oft nutzen sie Typosquatting oder Malvertising, um organischen Traffic auf diese Seiten zu lenken. Um die Glaubwürdigkeit zu maximieren, ahmen die Seiten vertrauenswürdige Unternehmensmarken wie Microsoft, Cloudflare oder Booking.com stark nach.
Schritt 2: Die gefälschte Verifizierung
Wenn ein Nutzer auf der Seite landet, verdeckt der Angreifer den erwarteten Inhalt mithilfe eines Overlays. Dem Nutzer wird ein äußerst realistisch wirkendes gefälschtes CAPTCHA-Feld, eine künstliche Warnmeldung „Browser-Update erforderlich“ oder eine Fehlermeldung beim Laden eines Dokuments mit einer auffälligen Schaltfläche „Beheben“ oder „Überprüfen“ angezeigt.
Schritt 3: Die Übernahme der Zwischenablage
Sobald das Opfer auf diese Schaltfläche klickt, wird ein versteckter JavaScript-Code im Hintergrund ausgelöst. Dieses Skript überschreibt automatisch die System-Zwischenablage des Benutzers mit einer stark verschleierten, bösartigen Befehlszeichenfolge. Diese Änderung der Zwischenablage erfolgt unbemerkt und ohne sichtbare Bestätigung.
Schritt 4: Die Anleitung
Die Webseite wechselt sofort zu einem Anleitungsbildschirm. Dort wird das Opfer durch eine genaue Abfolge von Tastenkombinationen geführt: Drücken Sie „Win + R“, um das Windows-Fenster „Ausführen“ zu öffnen, drücken Sie „Strg + V“, um den kopierten Inhalt einzufügen, und drücken Sie die Eingabetaste. Die Seite stellt diese Abfolge als notwendigen manuellen Patch dar, um den Ladefehler zu beheben.
Schritt 5: Ausführung und Übertragung der Nutzlast
Sobald der Benutzer die Eingabetaste drückt, führt das Betriebssystem den versteckten Zwischenablagebefehl aus. Dies löst in der Regel eine unbemerkte Hintergrundverbindung zu einem Remote-Server aus, um spezielle Malware herunterzuladen und zu installieren. Der Browser selbst verarbeitet zu keinem Zeitpunkt einen expliziten Link zum Herunterladen einer Datei, sodass Webfilter auf Browserebene die Installation überhaupt nicht erkennen können.
Was ist FileFix und wie entwickelt sich der Angriff weiter?
Als die Sicherheitszentralen (SOCs) von Unternehmen begannen, die Nutzung des Windows-Dialogfelds „Ausführen“ zu überwachen und einzuschränken, passten die Angreifer ihre Vorgehensweise rasch an. Am 23. Juni 2025 veröffentlichte der Sicherheitsforscher mr.d0x eine noch heimlichere Weiterentwicklung namens „FileFix “.
Anstatt die Benutzer zur Eingabe von Administratorbefehlen zu zwingen, zeigt ein FileFix-Angriff auf einer Webseite eine ganz normal aussehende Schaltfläche „Datei hochladen“ an. Ein Klick auf diese Schaltfläche öffnet ein echtes, natives Windows-Datei-Explorer-Fenster. Auf der Anleitungsseite wird der Benutzer dann dazu aufgefordert, in die Adressleiste des Datei-Explorers oben zu klicken, den Inhalt der Zwischenablage (getarnt als Dateipfad) einzufügen und die Eingabetaste zu drücken.
Diese Variante ist aus zwei Gründen deutlich gefährlicher. Erstens ist der Datei-Explorer für normale Unternehmensmitarbeiter weitaus vertrauter und wirkt weniger bedrohlich als das technisch anmutende Feld „Ausführen“. Zweitens ist der Datei-Explorer tief in die Kernfunktionen des Desktops integriert, was es IT-Teams im Gegensatz zu administrativen Befehlsprogrammen erschwert, ihn über herkömmliche Gruppenrichtlinien (GPO) zu sperren.
Chronologie des Missbrauchs: Wie Angreifer auf FileFix aufbauten
Bedrohungsgruppen setzten diese neuen Forschungsergebnisse mit alarmierender Geschwindigkeit in die Tat um. Check Point Research entdeckte bereits am 6. Juli 2025, weniger als zwei Wochen nach der ersten öffentlichen Bekanntgabe, aktive Angreifer, die FileFix-Code innerhalb einer aktiven Phishing-Infrastruktur testeten. Mitte Juli 2025 dokumentierte der DFIR-Bericht eine aktive Live-Kampagne (unter dem Namen „KongTuke“ verfolgt), bei der FileFix genutzt wurde, um eine fortgeschrittene Variante des Interlock-Remote-Access-Trojaners (RAT) zu verbreiten. Im September 2025 entdeckten Forscher modifizierte FileFix-Varianten, die Steganografie einsetzten und bösartige Payloads vollständig in harmlosen Bilddateien versteckten; diese wurden auf mehrsprachigen Phishing-Websites gehostet, um die StealC-Malware unbemerkt zu verbreiten.
Anwendungsfälle für ClickFix
ClickFix hat sich von einem experimentellen Cyberkriminalitäts-Trick zu einem bevorzugten Einsatzwerkzeug für hochentwickelte Bedrohungsgruppen gewandelt. Innerhalb eines engen Zeitfensters von 90 Tagen zwischen Oktober 2024 und Januar 2025 integrierten vier bedeutende staatlich gestützte Bedrohungsakteure ClickFix in ihre aktiven Cyberspionage-Operationen: die russische Gruppe APT28, die nordkoreanische Gruppe Kimsuky, die iranische Gruppe MuddyWater und die mit Russland in Verbindung stehende Gruppe COLDRIVER. Die pakistanische APT36 folgte kurz darauf im Mai 2025. Anstatt ganze Operationen von Grund auf neu aufzubauen, integrierten diese Advanced Persistent Threats (APTs) ClickFix in ihre bestehenden Phishing-Frameworks.
Mehrere bemerkenswerte Kampagnen verdeutlichen die enorme Vielfalt dieser Maßnahmen:
- Die Google-Sheets-Täuschung von APT28: Diese Gruppe nutzte eine äußerst realistisch gestaltete gefälschte Google-Sheets-Seite, um Opfer dazu zu verleiten, eine reCAPTCHA-Abfrage zu bestätigen. Durch das Anklicken des Kästchens wurde im Hintergrund ein verschlüsselter SSH-Tunnel eingerichtet und Metasploit direkt im Zielnetzwerk installiert, wodurch sich die Angreifer einen dauerhaften Backdoor-Zugang verschafften.
- Die „Patch Tuesday“-Kampagne von MuddyWater: Unter dem Decknamen TA450 koordinierte diese Gruppe massive Phishing-Angriffe, deren Zeitpunkt ausdrücklich auf den monatlichen „Patch Tuesday“-Zeitplan von Microsoft abgestimmt war. Die E-Mails gaben vor, dringende Sicherheitsupdate-Benachrichtigungen für Windows zu sein, und richteten sich erfolgreich gegen mindestens 39 namhafte Organisationen im Nahen Osten.
- Storm-1865 Hospitality Wave: Dieser Akteur gab sich systematisch als automatisierte Mitteilungen von Booking.com aus, um Mitarbeiter in der Verwaltung von Hotels und in der Reisebranche anzusprechen und deren Zugangsdaten zu stehlen.
- Sicherheitslücke in der Lieferkette der Automobilbranche: Im März 2025 führte ein einziger kompromittierter Drittanbieter namens LES Automotive dazu, dass ClickFix-Infektionsskripte gleichzeitig auf mehr als 100 verschiedene Websites von Autohändlern eingeschleust wurden.
- Folgen von Ransomware: Auch die Ransomware-Gruppe „Interlock“ nutzt ClickFix für den Erstzugang; dazu gehört ein dokumentierter Vorfall vom August 2025, von dem eine staatliche oder kommunale Behörde in den USA betroffen war.
Wie hat sich die ClickFix-Malware weiterentwickelt?
Die technische Eintrittsbarriere für diesen Angriff ist drastisch gesunken. Kommerzielle „ClickFix Builder“-Kits werden mittlerweile in großem Umfang in Untergrund-Hackerforen gekauft und verkauft, was es auch Cyberkriminellen mit geringen Fachkenntnissen ermöglicht, maßgeschneiderte Kampagnen zu starten. Darüber hinaus ist der Angriff nicht mehr ausschließlich auf Windows-Systeme beschränkt; neuere Varianten zielen nun auch auf macOS-Nutzer über Base64-kodierte Terminalbefehle sowie auf Linux-Unternehmensumgebungen ab. Unabhängige Threat-Intelligence-Teams, darunter Recorded Future und das Center for Internet Security, berichteten, dass ClickFix bis ins Jahr 2026 hinein eine der aktivsten Initial-Access-Techniken blieb, wobei immer wieder neue Ködermotive (darunter gefälschte Besprechungseinladungen und Aufforderungen zu Software-Updates) auftauchten.
Zu den verschiedenen Endnutzlasten, die über diese Methoden übertragen werden, gehört eine breite Palette gefährlicher Malware-Arten:
| Klassifizierung der Nutzlast | Festgestellte Malware-Familien |
|---|---|
| Datendiebe | Lumma Stealer, StealC, Vidar, DanaBot, Atomic macOS Stealer |
| Fernzugriffstrojaner (RATs) | AsyncRAT, XWorm, NetSupport, VenomRAT, Quasar |
| Lader und Zugangsvorläufer | Latrodectus, MintsLoader, DarkGate |
| Ransomware-Angriffe | Interlock, Qilin |
| Missbrauchte Fernverwaltungs-Tools | ScreenConnect, das „Level“-RMM-Tool |
Unter diesen Payloads ist Lumma Stealer nach wie vor die dominierende. Microsoft identifizierte weltweit mehr als 394.000 infizierte Windows-Geräte während eines kurzen Zeitraums von zwei Monaten zwischen März und Mai 2025. Zwar gelang es im Rahmen einer groß angelegten Strafverfolgungsaktion unter Beteiligung von Microsoft, Europol, dem FBI und dem DOJ, diese Infrastruktur koordiniert außer Gefecht zu setzen, doch Teile des Lumma-Backends konnten sich innerhalb weniger Wochen wieder erholen und den Betrieb wieder aufnehmen.
Wie sehen ClickFix und FileFix in Zahlen aus?
Die quantitativen Kennzahlen zu diesen dateilosen Kampagnen verdeutlichen, warum sie zu einem branchenweiten Notfall geworden sind:
- 517 %: Der massive Anstieg der von ESET in der ersten Hälfte des Jahres 2025 verzeichneten ClickFix-Erkennungen im Vergleich zur zweiten Hälfte des Jahres 2024. Durch dieses explosive Wachstum wurde ClickFix weltweit zum zweithäufigsten Erstangriffsvektor, direkt hinter dem traditionellen Phishing.
- 8 %: Der Gesamtanteil aller weltweit durch Telemetrie abgewehrten webbasierten Angriffe, die explizit durch ClickFix-Skripte ausgelöst wurden.
- 47 %: Der Prozentsatz aller vom „Defender Experts“-Threat-Hunting-Team von Microsoft ausgegebenen Erstzugriffsmeldungen, die über einen Zeitraum von 12 Monaten direkt auf ClickFix-Vektoren zurückgeführt wurden.
- 54 %: Der Prozentsatz der Ransomware-Opfer, deren Zugangsdaten für Unternehmensdomains bereits vor dem eigentlichen Verschlüsselungsvorfall auf Stealer-Log-Marktplätzen zum Verkauf angeboten wurden, laut dem „2025 Data Breach Investigations Report“ (DBIR) von Verizon.
Diese letzte Kennzahl verdeutlicht den gefährlichen Zusammenhang zwischen dem Diebstahl von Anmeldedaten und dem Einsatz von Ransomware. Der Medianwert für die Zeitspanne zwischen dem Verlust der Anmeldedaten eines Mitarbeiters durch einen Infostealer und dem Einsatz von Ransomware durch eine Hackergruppe im gesamten Unternehmensnetzwerk beträgt derzeit nur zwei Tage. Da ClickFix und FileFix zu den wichtigsten Verbreitungsmechanismen gehören, die diese Marktplätze für Anmeldedaten antreiben, ist die Unterbindung dieser ersten Interaktionen eine entscheidende Voraussetzung, um einen katastrophalen Ransomware-Angriff zu verhindern.
Wie erkennt man einen „ClickFix“- oder „FileFix“-Versuch?
Die Mitarbeiter des Unternehmens bilden die erste Verteidigungslinie gegen diese Bedrohung. Um Ihren Endpunkt zu schützen, vergleichen Sie jede ungewöhnliche Web-Abfrage mit dieser Sicherheitscheckliste:
- Eine seriöse Website wird Sie niemals auffordern, den Windows-Dialog „Ausführen“, ein Terminal oder die Adressleiste des Datei-Explorers zu öffnen, um Ihre Identität zu „überprüfen“ oder einen Browserfehler zu beheben.
- Seien Sie misstrauisch gegenüber CAPTCHAs oder Fehlermeldungen, in denen Sie aufgefordert werden, Tastenkombinationen wie Win + R, Cmd + Leertaste oder Strg + V zu drücken.
- Wenn Sie etwas einfügen und dabei eine lange Codezeile erscheint, die Sie nie kopiert haben, wurde Ihre Zwischenablage kompromittiert. Fügen Sie diesen Inhalt nirgendwo ein und führen Sie ihn auch nicht aus.
- Standard-Sicherheitstools werden vollständig innerhalb des aktiven Browser-Tabs ausgeführt. Sie erfordern zu keinem Zeitpunkt, dass Sie den Webbrowser verlassen oder mit externer Desktop-Software interagieren.
Sollten Sie beim Surfen oder in einer Nachricht einmal auf einen unbekannten oder verdächtigen Link stoßen, können Sie dessen Status mit einem speziellen, kostenlosen Tool zur Linkprüfung überprüfen, bevor Sie darauf klicken.
Wie können sich IT-Teams gegen ClickFix und FileFix schützen?
Da diese Angriffe legitime Systemabläufe manipulieren, anstatt herkömmliche Exploits einzusetzen, erfordert ihre Abwehr ein mehrschichtiges Sicherheitsmodell.
1. Hochrisikoschnittstellen einschränken und überwachen
IT-Entwicklungsteams sollten restriktive Group Policy (GPO)-Kontrollen implementieren, um den Zugriff auf administrative Befehlsschnittstellen wie den Dialog „Ausführen“ (cmd.exe) und die native Ausführung von PowerShell für normale, nicht-administrative Benutzer zu blockieren, sofern dies betrieblich machbar ist. Wo vollständige Einschränkungen nicht möglich sind, sollte die Überwachungsinfrastruktur so konfiguriert werden, dass sie Anomalien in den RunMRU-Registrierungsschlüsseln kennzeichnet, alle schnellen Änderungen des Inhalts der Zwischenablage protokolliert und eine umfassende Protokollierung von PowerShell-Skriptblockierungen durchsetzt.
2. Eine Architektur zur Bewegungserkennung, die über die Datei hinausgeht
Da herkömmliche statische Dateiscans bei dateiloser Malware versagen, müssen Sicherheitsteams die gesamte Verhaltenskette im Blick behalten. Sicherheitslösungen sollten fortschrittliche Webfilter am Netzwerkrand zum Scannen eingehender HTML-/URL-Strukturen mit Verhaltensanalysen an Endpunkten kombinieren, die in der Lage sind, die charakteristischen Merkmale eines Browserprozesses zu erkennen, der Befehle in Systemtools einschleust.
3. Den ursprünglichen Übertragungsweg des Phishing-Angriffs unterbinden
Zwar findet die ClickFix-Interaktion im Internet statt, doch der ursprüngliche Link wird in großem Umfang über gezielte Phishing-E-Mails oder bösartige Anzeigen verbreitet, die vertrauenswürdige Unternehmensmarken oder interne Unternehmensdomains vortäuschen. Berichten des Center for Internet Security (CIS) und des Multi-State Information Sharing and Analysis Center (MS-ISAC) zufolge erhalten Organisationen des öffentlichen Sektors häufig Phishing-Köder, die missbrauchte Subdomains vertrauenswürdiger Dienste (wie trycloudflare.com oder r2.dev) nutzen, um Standard-E-Mail-Filter zu umgehen und die Opfer auf gefälschte CAPTCHA-Seiten umzuleiten.
Die Durchsetzung von Domain-Authentifizierungsprotokollen wie „Domain-based Message Authentication, Reporting, and Conformance“ (DMARC) mit einer strengen Durchsetzungsrichtlinie von „p=reject“ schränkt die Möglichkeiten von Angreifern erheblich ein, die Domain Ihres Unternehmens beim Versenden dieser ersten Phishing-Köder zu fälschen. Hier ist große Präzision gefragt: DMARC ist eine Maßnahme zur Identitätsprüfung und zum Markenschutz, keine direkte Lösung für die Ausführung auf Endgeräten. Es kann einen Mitarbeiter nicht daran hindern, Code in ein Terminal einzufügen, sobald er sich bereits auf einer bösartigen Website befindet, aber es untergräbt erheblich die Fähigkeit des Angreifers, äußerst überzeugende E-Mails mit gefälschter Domain zu versenden, die die Angriffskette überhaupt erst in Gang setzen.
4. Kontextspezifische Benutzerschulungen anbieten
Allgemeine Sicherheitsschulungen für Unternehmen, bei denen die Mitarbeiter lediglich angewiesen werden, „nicht auf verdächtige Links zu klicken“, sind gegen die spezifischen visuellen Muster, die ClickFix verwendet, völlig wirkungslos. Unternehmen müssen kurze, gezielte Schulungsübungen durchführen, die sich ausschließlich auf diesen Ablauf konzentrieren. Die Botschaft der Schulung sollte klar und umsetzbar sein: Wenn eine Website Sie auffordert, Text in das Feld „Ausführen“ von Windows oder in die Adressleiste des Datei-Explorers einzufügen, hören Sie sofort auf und melden Sie dies der IT-Abteilung.
5. Die Meldung von Selbstbehebungen zur Regel machen
ClickFix nutzt aktiv die natürliche menschliche Neigung aus, kleinere technische Probleme selbstständig zu beheben, ohne den Helpdesk zu belasten. Sicherheitsteams müssen diesem Verhalten gezielt entgegenwirken, indem sie klare, reibungslose Meldeprozesse schaffen. Die Mitarbeiter müssen wissen, dass das Melden einer ungewöhnlichen Bestätigungsabfrage die erwartete und sichere Vorgehensweise ist.
Schlusswort: Den menschlichen Faktor sichern
ClickFix und FileFix stehen für einen entscheidenden taktischen Wandel in der modernen Cyberkriminalität. Diese Kampagnen verschwenden keine Zeit damit, nach komplexen Zero-Day-Sicherheitslücken in Software zu suchen; stattdessen zielen sie auf eine viel einfachere Schwachstelle ab: den natürlichen menschlichen Reflex, bei einer geringfügigen technischen Störung schnell weiterzuklicken. Dieser einfache Verhaltens-Exploit hat sich als so effektiv erwiesen, dass er mittlerweile sowohl von opportunistischen Cyberkriminellen als auch von hochentwickelten staatlichen Geheimdienstnetzwerken aktiv eingesetzt wird.
Um dieser Bedrohung entgegenzuwirken, ist eine ausgewogene, mehrschichtige Verteidigung erforderlich. Unternehmen müssen eine proaktive Endpunktüberwachung, gezielte Schulungen zum Verhalten der Mitarbeiter und technische Authentifizierungskontrollen kombinieren, um die ursprünglichen Übertragungskanäle zu blockieren.
Durch die Einführung einer strengen Domain-Authentifizierung können Sie unbefugte E-Mails, die von Ihren Unternehmensdomains versendet werden, vollständig blockieren. Übernehmen Sie die Kontrolle über Ihren E-Mail-Perimeter und schützen Sie Ihre Unternehmensmarke. Nutzen Sie die PowerDMARC Domain Security Platform , um Ihr E-Mail- Ökosystem zu analysieren und noch heute eine aktive Abwehr gegen Phishing-Verteilungsnetzwerke durchzusetzen.
Häufig gestellte Fragen
Was versteht man in der Cybersicherheit unter „ClickFix“?
ClickFix ist eine dateilose Social-Engineering-Technik, bei der kompromittierte Websites gefälschte CAPTCHAs oder Browser-Fehlermeldungen anzeigen. Wenn ein Benutzer auf die Aufforderung klickt, kopiert im Hintergrund ausgeführtes JavaScript einen schädlichen Befehl in seine Zwischenablage, und Anweisungen leiten den Benutzer dazu an, diesen manuell einzufügen und mithilfe vertrauenswürdiger Systemtools wie dem Windows-Feld „Ausführen“ auszuführen.
Was ist der Unterschied zwischen ClickFix und FileFix?
ClickFix verleitet Opfer dazu, bösartige Befehle aus der Zwischenablage direkt in Systemdienstprogramme mit Administratorrechten einzufügen, wie beispielsweise den Windows-Dialog „Ausführen“ oder das macOS-Terminal. FileFix ist eine weiterentwickelte Variante, die Nutzer dazu verleitet, ein normales Windows-Datei-Explorer-Fenster zu öffnen und den Befehl direkt in die Adressleiste einzufügen – eine Benutzeroberfläche, die den Nutzern vertrauter ist und von IT-Teams schwerer einzuschränken ist.
Wie infiziert ein ClickFix-Angriff einen Computer ohne schädliche Datei?
Der Angriff verzichtet in der ersten Phase der Kompromittierung vollständig auf das Herunterladen von Dateien. Er nutzt natives JavaScript im Hintergrund, um die System-Zwischenablage des Benutzers zu kapern. Das Opfer fügt diesen versteckten Code anschließend manuell ein und führt ihn mithilfe vertrauenswürdiger, vorinstallierter Systemdienstprogramme mit Administratorrechten aus – eine Methode, die als „Living off the Land“ bekannt ist.
Welche Angreifer nutzen ClickFix und FileFix?
Diese Technik ist in der gesamten Bedrohungslandschaft weit verbreitet. Sie wird sowohl von zahlreichen Cyberkriminellen-Gruppen, die Daten stehlen (und Payloads wie „Lumma Stealer“ verbreiten), als auch von hochentwickelten staatlich geförderten Spionagegruppen aus verschiedenen Ländern eingesetzt, darunter die russischen Gruppen APT28 und COLDRIVER, die nordkoreanische Gruppe Kimsuky, die iranische Gruppe MuddyWater und die pakistanische Gruppe APT36.
Können Antivirenprogramme oder MFA einen ClickFix-Angriff verhindern?
Herkömmliche statische Antivirensoftware erkennt ClickFix oft nicht, da bei der ersten Interaktion keine schädliche Datei heruntergeladen wird, die gescannt werden könnte. Auch die Multi-Faktor-Authentifizierung (MFA) kann eine Infektion nicht verhindern, da der Angriff direkt auf das aktive Endgerät abzielt, anstatt zu versuchen, eine Anmeldesitzung bei einer Webanwendung zu kapern.
Wie kann ich feststellen, ob es sich bei einem CAPTCHA oder einer „Fix it“-Aufforderung um einen ClickFix-Angriff handelt?
Ein echtes Tool zur Überprüfung der menschlichen Identität wie Google reCAPTCHA läuft vollständig in Ihrem aktiven Browser-Tab und erfordert niemals, dass Sie externe Desktop-Software öffnen. Jede Aufforderung, bei der Sie zur Behebung eines Fehlers Tastenkombinationen wie „Win + R“ verwenden, das Feld „Ausführen“ öffnen oder Text in die Adressleiste des Datei-Explorers einfügen sollen, ist ein ClickFix-Angriff.
Content-Spezialist bei PowerDMARC
Milena ist eine erfahrene Autorin und Inhaltserstellerin mit mehr als 7 Jahren Erfahrung in der Erstellung ansprechender Inhalte über IT, Cybersicherheit, virtuelle Veranstaltungen und mehr. Sie hat eine nachgewiesene Erfolgsbilanz bei der Erstellung hochwertiger Arbeiten für internationale Magazine und ist Absolventin renommierter Institutionen wie der New York University Abu Dhabi, UWC China und dem College of Europe.
Neueste Beiträge von Milena Baghdasaryan (alle anzeigen)
