Was ist passiert?
Sicherheitsforscher haben die Infrastruktur hinter ClickFix analysiert und dabei über 3.000 aktive Malware-Payloads untersucht. Die Analyse offenbart, dass die Cyberkriminellen hinter ClickFix eine API-gesteuerte Backend-Infrastruktur aufgebaut haben, die jedem Besucher die gleiche Malware in verschiedenen Varianten ausliefert. Zusätzlich wurde eine neue Delivery-Methode entdeckt, die speziell entwickelt wurde, um Windows-Sicherheitsmechanismen zu umgehen.
Hintergrund & Bedeutung
ClickFix ist eine Social-Engineering-Kampagne, bei der Angreifer gefälschte „Verifiziere deine Identität“-Seiten erstellen. Nutzer werden täuscht, manuell Befehle auszuführen, die dann Malware installieren. Die neue Forschung zeigt, dass hinter diesen Seiten professionelle API-Strukturen stecken – ein Zeichen für hochorganisierte kriminelle Aktivitäten. Die polymorphe Natur der Malware-Verteilung erschwert traditionelle Erkennungsmethoden erheblich und stellt eine wachsende Bedrohung für Unternehmens-Endpunkte dar.
Empfehlungen fuer IT-Teams
- Benutzeraufklärung: Schulung zu Social-Engineering-Taktiken durchführen, besonders zum Erkennen gefälschter Verifizierungsseiten
- Script-Blocking: Windows PowerShell und Command-Line-Tools für nicht-privilegierte Benutzer einschränken
- Endpoint-Protection: EDR-Lösungen (Endpoint Detection & Response) implementieren, die polymorphe Malware erkennen
- URL-Filterung: Verdächtige Domains auf Firewall-Ebene blockieren
- Monitoring: Verdächtige API-Anfragen und anomale Script-Ausführungen überwachen
Fazit
ClickFix ist von einer einfachen Social-Engineering-Technik zu einer professionellen, API-gesteuerten Malware-Verteilungsplattform herangewachsen. Unternehmen müssen ihre Endpunktsicherheit und Benutzeraufklärung verstärken, um dieser evolverenden Bedrohung entgegenzuwirken.
Quelle: Original Artikel