Microsoft hat vor ClickFix-Angriffen gewarnt, die BNB-Chain-Smart-Contracts nutzen, um täglich Tausende von Geräten zu infizieren.
Zusammenfassung
- Microsoft erklärte, dass ClickFix-Angriffe BNB-Chain-Smart-Contracts verwenden, um Malware-Anweisungen zu übermitteln.
- Gefälschte CAPTCHA-Seiten täuschen Benutzer, indem sie sie dazu bringen, vom Angreifer bereitgestellte Befehle auf Windows-Geräten auszuführen.
- Die Kampagne zielt täglich auf Tausende von Unternehmens- und Verbrauchergeräten weltweit ab.
- Microsoft warnte, dass erfolgreiche Angriffe Anmeldeinformationen offenlegen und zu Ransomware-Einsätzen führen können.
Laut Microsoft Threat Intelligence nutzt ein Cluster kompromittierter Websites ClickFix-Köder zusammen mit der EtherHiding-Technik, um Malware zu verbreiten, wobei die Kampagnen täglich auf Tausende von Unternehmens- und Verbrauchergeräten weltweit abzielen.
Das Sicherheitsteam erklärte, dass Angreifer Base64-codiertes JavaScript in kompromittierte Websites injizieren. Anstatt Payload-Anweisungen von einem herkömmlichen Server abzurufen, verbindet sich das Skript mit einem BNB-Smart-Chain-RPC-Gateway und fragt einen Smart Contract ab, der zuvor mit der ClearFake-Kampagne in Verbindung gebracht wurde.
Da nur der Besitzer der Kryptowährungs-Wallet, die den Vertrag bereitgestellt hat, dessen Inhalte ändern kann, sind die Anweisungen mit herkömmlichen Takedown- oder Sinkholing-Methoden schwer zu entfernen.
Microsoft erklärte, dass Opfern ein gefälschtes CAPTCHA angezeigt wird, das sie auffordert, zu bestätigen, dass sie Menschen sind. Anstatt einen normalen Verifizierungsschritt abzuschließen, werden Benutzer angewiesen, den Windows-Dialog „Ausführen" zu öffnen, den Zwischenablageinhalt einzufügen und die Eingabetaste zu drücken, wodurch ein vom Angreifer kontrollierter Befehl auf ihren eigenen Systemen ausgeführt wird.
ClickFix-Kampagne hat Blockchain zur Übermittlung von Angriffsanweisungen genutzt
Während das gefälschte CAPTCHA als Köder dient, berichtete der Bericht, dass Angreifer sich auf mehrere Befehlsverschleierungstechniken verlassen, um nach der Ausführung einer Erkennung zu entgehen. Microsoft beobachtete den Missbrauch von Windows-Tools wie conhost, cmd, PowerShell, pcalua, mshta, rundll32, msiexec, curl, WMI, WebDAV und geplanten Aufgaben.
Forscher identifizierten auch mehrere Techniken, die darauf abzielen, bösartige Befehle zu verbergen. Caret-Zeichen teilen Schlüsselwörter, Umgebungsvariablen verbergen Interpreter, und Windows-Prozesse laufen im minimierten oder headless Modus, um die Sichtbarkeit während der Ausführung zu verringern.
Neben ClickFix erklärte Microsoft, dass Angreifer auch TerminalFix-Köder einsetzen. Anstatt Opfer zum Windows-Dialog „Ausführen" zu leiten, weist TerminalFix Benutzer an, Befehle in Windows Terminal oder PowerShell einzufügen, wobei dieselbe Social-Engineering-Methode verwendet wird, um den Angriff auszulösen.
Der Bericht beschrieb ClickFix und TerminalFix als Techniken für den Erstzugriff mit hohem Volumen. Microsoft erklärte, dass es Kampagnen verfolgt, die täglich auf Tausende von Unternehmens- und Verbrauchergeräten weltweit abzielen, während einige Malvertising-Ketten Benutzer auch auf Betrugsseiten umleiten, bevor die bösartigen Anweisungen übermittelt werden.
Malware kann zu Anmeldedatendiebstahl und Ransomware-Angriffen führen
Laut dem Bericht haben zahlreiche Bedrohungsakteure die Technik übernommen, um nach dem Erstzugriff mehrere Malware-Familien zu verbreiten. Microsoft identifizierte Lumma Stealer und andere Informationsdiebe, Xworm- und AsyncRAT-Fernzugriffs-Trojaner, MintsLoader und Fernverwaltungstools unter den über ClickFix-Kampagnen übermittelten Payloads.
Forscher warnten, dass eine einzige erfolgreiche Ausführung Anmeldeinformationen offenlegen, Persistenz auf infizierten Systemen herstellen, laterale Bewegung über Netzwerke ermöglichen und einen Weg für von Menschen durchgeführte Ransomware-Angriffe und mögliche Domain-Kompromittierung schaffen kann.
Um das Risiko zu verringern, empfahl Microsoft, den Microsoft-Defender-Netzwerk-, Web- und Cloud-Schutz zu aktivieren, den Zugriff auf den Windows-Dialog „Ausführen" und andere Befehlszeilentools einzuschränken, wo sie nicht erforderlich sind, die PowerShell-Skriptblock-Protokollierung zu aktivieren und Anwendungssteuerungsrichtlinien durchzusetzen.
Das Unternehmen riet Benutzern außerdem, keine Befehle von gefälschten CAPTCHAs, Browserfehlerseiten, Werbung, unaufgeforderten Support-Seiten oder E-Mails in Windows Ausführen, Terminal, PowerShell oder Eingabeaufforderung einzufügen, da Angreifer zunehmend darauf setzen, Benutzer dazu zu bringen, bösartige Befehle selbst auszuführen.
Defender-Erkennungen zielen auf ClickFix-Aktivitäten ab
Microsoft gab an, dass Microsoft Defender XDR einen mehrschichtigen Schutz über verschiedene Phasen der Angriffskette bietet. Laut dem Unternehmen können Defender SmartScreen und Defender für Office 365 dazu beitragen, bösartige Websites, Phishing-Links, infizierte Anhänge und gefälschte CAPTCHA-Seiten zu blockieren, bevor Benutzer mit ihnen interagieren.
Die Sicherheitsplattform erkennt auch verdächtige Befehlsausführungen und ausgehende Verbindungen mithilfe von Warnungen wie „Verdächtiger Befehl in RunMRU-Registrierung“, „Mögliche ClickFix-Aktivität“ und „Möglicher Erstzugriff durch eine aufkommende Bedrohung“.
In der Zwischenzeit identifiziert Microsoft Defender Antivirus bösartige Befehlsausführungen unter Erkennungen wie Trojan:Win32/ClickFix.* und Trojan:Win32/TermFix.*. Das Unternehmen erklärte, dass Organisationen diese Erkennungen als mögliche Indikatoren für einen Erstzugriffs-Vorfall behandeln, betroffene Geräte isolieren, potenziellen Identitätsdiebstahl und Persistenzmechanismen untersuchen und nach verwandten Aktivitäten in ihrer Umgebung suchen sollten.
Frühere Microsoft-Warnung hob krypto-fokussierte Malware hervor
Die neuesten Erkenntnisse folgen auf einen weiteren Microsoft Threat Intelligence-Bericht vom Juni, der eine Windows-basierte CryptoBandits-Clipper-Kampagne beschrieb, die seit Februar 2026 aktiv ist.
Laut dem Bericht verbreitete sich die Malware über bösartige .lnk-Verknüpfungsdateien, überwachte die Zwischenablage alle 500 Millisekunden auf Kryptowährungs-Wallet-Adressen, Seed-Phrasen und private Schlüssel und ersetzte kopierte Wallet-Adressen durch solche, die von Angreifern kontrolliert wurden.
Forscher fanden auch heraus, dass die Malware die Kommunikation über das Tor-Netzwerk leitete, geplante Aufgaben für Persistenz erstellte, Screenshots aufnahm und vom Angreifer bereitgestellten Code ausführte, was den Betreibern effektiv einen leichten Backdoor-Zugang verschaffte.
Microsoft sagte damals, dass Verteidiger Kombinationen verdächtigen Verhaltens untersuchen sollten, anstatt isolierte Ereignisse, insbesondere wenn Skript-Engines Tools wie curl, cmd.exe oder PowerShell zusammen mit Tor-bezogenem Datenverkehr starteten.
Die frühere Warnung kam, als sich krypto-bezogene Malware-Kampagnen weiterentwickelten. Wie zuvor von crypto.news berichtet, zielte StilachiRAT auf browserbasierte Kryptowährungs-Wallets ab und überwachte die Zwischenablage-Aktivität, während SparkCat Screenshots nach Wallet-Seed-Phrasen mit Bildscannen durchsuchte. Binance warnte Benutzer auch vor Clipper-Malware, die darauf ausgelegt ist, kopierte Kryptowährungs-Wallet-Adressen durch Alternativen zu ersetzen, die von Angreifern kontrolliert werden.
