Es ist noch gar nicht so lange her, dass ClickFix-Angriffe als exotisch galten. Mittlerweile ist die Technik zum Mainstream geworden, da Angreifer die Einfachheit und Effektivität nutzen, um Nutzer von PCs und Macs gleichermassen zu infizieren. Alles, was erforderlich ist, ist eine kompromissierte Website — eine durchaus einfache Aufgabe —, ein gefälschtes CAPTCHA-Overlay und die Einbindung eines einzelnen Terminal-Befehls.

So viele Besucher lassen sich dazu verleiten, den Befehl einzufügen und auszuführen, dass inzwischen fast jeder Malware-Verbreiter diese Technik übernommen hat. Sogar vom Kreml unterstützte Hackergruppen machen mit. „Reddit liefert einen Beitrag nach dem anderen von Leuten, deren Computer über ClickFix infiziert wurden“, stellte der unabhängige Forscher Kevin Beaumont am Donnerstag fest. „Legitime Websites werden überall gehackt, um gefälschte Captcha-Aufforderungen auszugeben.“

Wie viele von uns machen die Sache noch schlimmer? Erfahrenere Internetnutzer — ein fairer Teil der Leserschaft dieser Website — neigen dazu, den Angriff schnell abzutun. Sie geben typischerweise den Menschen die Schuld, die auf die Betrugsmaschen hereinfallen, und staunen über deren Gutgläubigkeit und Mangel an Aufmerksamkeit.

Die Realität sieht so aus, dass die Nutzung von Computern und des Internets für Gelegenheitsnutzer so schwierig geworden ist — man denke an nicht schliessbare Interstitials, CAPTCHAs mit einer endlosen Reihe von Bildern zur Analyse und ständig wechselnde Oberflächen, die die gesuchten Funktionen verdecken —, dass sie gegenüber Anweisungen, die absurd und belastend wirken, abgestumpft sind. ClickFix-Angreifer schlagen Kapital aus dieser Erschöpfung.

Typischerweise beginnen Angriffe mit einem einfachen CAPTCHA-Bild, das sich oft als eines von Cloudflare ausgibt. Nach der Interaktion mit dem Feld sieht der Nutzer eine Textzeile, die oft so verschleiert ist, dass bösartige Befehle maskiert werden. Danach wird der Nutzer angewiesen, den Text zu kopieren, in Windows Run, PowerShell oder das macOS-Terminal einzufügen und die Eingabetaste zu drücken.

Die Anweisungen stammen von Websites, die Menschen seit Jahren nutzen. Die Anleitungen wirken nicht verdächtiger als Dinge, die von ihnen seit einem Jahrzehnt verlangt werden. Warum sollte jemand ohne fundierte Kenntnisse der Computersicherheit einen Grund zum Zögern haben?

Für die Hintermänner der Angriffe macht ClickFix die Arbeit wesentlich einfacher. Eine frühere Methode der für die Malware-Installation Verantwortlichen, die von der Sicherheitsfirma BlueVoyant kürzlich als Lorem Ipsum verfolgt wurde, erforderte eine ressourcenintensive Infrastruktur. Dazu gehörten SEO-manipulierte und mit Malvertising versehene Download-Portale, von Microsoft vertrauenswürdig eingestufte Signaturzertifikate und kontinuierlich rotierende Domains zur Bereitstellung von Microsoft Installer-Paketen.

„Der Schwenk zu ClickFix Ende Mai 2026 macht die Anforderung der Codesignierung komplett überflüssig und ersetzt die Legitimität eines gültig signierten Installers durch eine andere Form der Legitimität: die freiwillige Ausführung des bösartigen Befehls durch den Nutzer im eigenen Terminal“, erklärte BlueVoyant. „Während das ClickFix-Modell den Opfernkreis von Nutzern, die gezielt nach Microsoft Teams suchen, auf jeden erweitert, der eine kompromissierte Website besucht.“

Die Situation für macOS-Nutzer ist nicht besser. Sowohl die Mac-Sicherheitsfirma Jamf als auch ein Forscher haben macOS-Varianten von ClickFix dokumentiert, die Gatekeeper-Schutzmassnahmen umgehen können. ClickFix-Angreifer finden immer neue Wege, um öffentliche Dienste zu nutzen — darunter öffentlich veröffentlichte Google Sheets-Dokumente, wie Cisco Talos berichtet.

Andere Angreifer, darunter der vom russischen Staat unterstützte Sandworm, hosten ihre Steuerungsinfrastruktur in Blockchain-basierten Smart Contracts. Die Sicherheitsfirma Netskope hat kürzlich eine weitere Kampagne entdeckt, die denselben Ansatz nutzte. Das Sicherheitsunternehmen zählte 5.400 Websites, die Signale an diesen Server sendeten, was ein Indiz für die Reichweite und Grösse dieser Kampagne ist.

Da Betriebssystemhersteller und Verteidiger neue Schutzmassnahmen entwickeln, finden Angreifer immer wieder dokumentierte Wege, diese zu umgehen. Das Fazit all dessen ist, dass ClickFix ein hochwirksames und effizientes Mittel zur Verbreitung aller Arten von Malware ist. Es wird nicht verschwinden, und das Beschuldigen oder Beschämen von Opfern macht das Problem nur noch schlimmer.

Es gibt eine Reihe von Plugins, eigenständigen Produkten und integrierten Schutzmassnahmen, die darauf ausgelegt sind, den Erfolg von ClickFix-Angriffen zu dämpfen. Beispielsweise kann BlockBlock, die Software zur Überwachung von Macs auf Prozesse, die sich dauerhaft installieren wollen, ClickFix-Angriffe blockieren, sobald ein Nutzer die Tasten ⌘+V drückt. Ublock wurde aktualisiert, um etwas Ähnliches zu tun.

Über diese Korrekturen hinaus sollten diejenigen von uns mit mehr Sicherheitsschulung das Bewusstsein bei unseren weniger erfahrenen Nachbarn, Familienmitgliedern und Freunden schärfen. Die massenhafte Einführung von ClickFix demonstriert seinen Erfolg, und es wird so schnell nicht verschwinden.