Trügerische Methode: Ein einfacher Klick und Betrüger haben Zugriff
Für viele Internetnutzer steht Sicherheit beim Surfen an oberster Stelle. Häufig treten Betrugsversuche in Form von Phishing-Mails auf, die dazu auffordern, einen Link zu klicken. Dieser führt die Nutzer auf gefälschte Webseiten, wo sie ihre Zugangsdaten, Kreditkarteninformationen oder andere persönliche Details preisgeben sollen. Eine neuartige Betrugsstrategie hingegen zielt nicht auf persönliche Daten ab, sondern direkt auf die Computer der Nutzer.
Diese Vorgehensweise verwendet eine manipulierte Sicherheitsprüfung, die auf den ersten Blick glaubwürdig erscheint, jedoch erhebliche Risiken birgt. Die Betrüger missbrauchen das Vertrauen der Nutzer in bekannte Sicherheitsdienste, indem sie auf kompromittierten Webseiten eine täuschend echte Sicherheitsprüfung von Cloudflare einblenden. Die Botschaft lautet sinngemäß: „Bestätigen Sie, dass Sie ein Mensch sind“. Um erfolgreich zu sein, benötigen die Betrüger keinen vollständigen Zugriff auf die Webseite; oft reicht es aus, eigenen JavaScript-Code zu integrieren, der eine zusätzliche Schicht über den ursprünglichen Inhalt legt.
Wie der Betrug funktioniert
Eine Angriffskampagne, die diesem Schema folgt und als ClickFix oder TerminalFix bekannt ist, wurde von Microsoft im August 2026 dokumentiert. Der Angriff wird automatisch aktiviert, sobald Nutzer den Anweisungen der angeblichen Cloudflare-Überprüfung folgen. Diese Taktik ist besonders perfide, da die Nutzer unwissentlich einen Befehl im Windows Terminal eingeben und ausführen.
Das Windows Terminal fungiert als Benutzeroberfläche, während PowerShell die Befehlsumgebung bereitstellt. Bei Besuch einer kompromittierten Webseite zeigt ein eingeschleustes JavaScript die gefälschte Cloudflare-Prüfung an. Nach dem Klick auf „Bestätigen Sie, dass Sie ein Mensch sind“, wird ein vorbereiteter PowerShell-Befehl in die Zwischenablage übernommen. Die Anleitung für die Nutzer lautet in diesem Fall:
- Windows-Taste + X
- „I“ oder Terminal öffnen
- Strg + V
- Enter
Die Nutzer sehen den kopierten Befehl zunächst nicht, sondern erst, wenn sie ihn im Windows-Terminal einfügen. Durch das Bestätigen mit Enter laden die Anwender die Schadsoftware im Hintergrund herunter und unterstützen die Angreifer dabei, diese auszuführen. Eine authentische Cloudflare-Prüfung würde niemals das Windows Terminal oder PowerShell erfordern.
Die Rolle von PowerShell in den Angriffen
PowerShell an sich ist kein Schadprogramm, sondern ein legitimes Windows-Tool, das Befehle ausführen, Dateien herunterladen und Programme starten kann. Häufig nutzen Angreifer PowerShell, um nach einem ersten Zugriff Schadcode nachzuladen oder auszuführen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) betont, dass solche Kommandozeileninterpreter oft integrale Bestandteile von Angriffen sind.
Erkennung des Betrugsversuchs
Die Identifizierung des Betrugsversuchs gestaltet sich als schwierig, da die Cloudflare-Technik an sich vertrauenswürdig ist. Cloudflare Turnstile hat normalerweise die Aufgabe, zwischen menschlichen Besuchern und automatisierten Zugriffen zu differenzieren. Je nach Risiko kann Turnstile eine Checkbox anzeigen oder die Prüfung vollständig im Hintergrund abwickeln. Fordert eine vermeintliche Cloudflare-Prüfung jedoch dazu auf, das Windows Terminal oder eine andere Eingabeaufforderung zu öffnen, um einen unbekannten Befehl einzugeben, sollten Nutzer sofort abgebrochen werden.
Ein grundlegender Hinweis lautet: Eine Webseite sollte niemals erläutern müssen, welchen Windows-Befehl man ausführen soll, um nachzuweisen, dass man ein Mensch ist. Bei Unsicherheiten sollte die Seite unverzüglich geschlossen werden.
Folgen eines Klicks auf Enter
Sobald Nutzer auf Enter drücken, sollte die Situation ernst genommen werden, selbst wenn zunächst keine sichtbaren Veränderungen auf dem Bildschirm zu erkennen sind. In der von Microsoft analysierten TerminalFix-Kampagne löst der eingefügte PowerShell-Befehl einen mehrstufigen Angriff aus. Dies beinhaltet unter anderem das Herunterladen eines Archivs aus dem Internet, das Entpacken von Dateien auf dem Computer und das Starten weiterer Komponenten. Die Angreifer verwenden dabei sogar legitime, signierte Windows-Dateien innerhalb ihrer Angriffskette und platzieren manipulierte DLLs, eine Technik, die als DLL-Sideloading bekannt ist.
Zusätzlich laden die Angreifer weitere Malware nach und verstecken Daten in scheinbar harmlosen PNG-Bildern. Die Schadsoftware ist darauf ausgelegt, gezielt Informationen über das Netzwerk zu sammeln und kann einen sogenannten Reverse-Tunnel aufbauen, der den betroffenen Rechner als Zugangspunkt zum internen Netzwerk nutzt. Microsoft warnt, dass betroffene Geräte als potenzielle Ausgangsbasis für künftige Angriffe betrachtet werden sollten.
Vollständiger Scan des Computers
Wurden die Befehle bereits ausgeführt, ist es ratsam, den Computer sofort vom Internet zu trennen. Anschließend sollte eine Überprüfung mit Microsoft Defender Offline erfolgen. Dieser Scan läuft unabhängig vom normalen Windows-Betrieb und erkennt auch Schadsoftware, die während des laufenden Systems verborgen ist. Danach folgt ein vollständiger Scan mit Microsoft Defender.
Wenn das Programm Schadsoftware entdeckt, kann es diese in der Regel isolieren oder entfernen. Schwierigkeiten treten jedoch auf, wenn die Malware bereits dauerhafte Mechanismen zum Starten eingerichtet hat. In den analysierten Fällen haben die Angreifer beispielsweise Registry-Einträge und geplante Aufgaben für die erneute Ausführung erstellt. Sollte die Malware nach der Bereinigung wieder auftauchen oder kann Defender sie nicht vollständig eliminieren, ist eine Neuinstallation von Windows ratsam.
Wichtige Schutzmaßnahmen
Die wichtigsten Schutzmaßnahmen sind leicht umzusetzen:
- Cloudflare-Prüfungen finden im Browser statt; Nutzer müssen dafür keinen unbekannten Windows-Befehl ausführen.
- Führen Sie keine Befehle aus, die von einer fremden Webseite vorgegeben werden.
- Vermeiden Sie es, die Prüfung auf irgendeine Weise zu umgehen. Verlassen Sie die Seite sofort.
- Schließen Sie den Tab und rufen Sie die gewünschte Internetseite gegebenenfalls über eine vertraute Adresse erneut auf.
Falls Nutzer bereits auf Enter gedrückt haben, sollten sie ruhig bleiben, jedoch nicht darauf vertrauen, dass nichts geschieht. Der Computer sollte vom Internet getrennt und gründlich überprüft werden.
Wenn der Schadcode bereits aktiv ist, besteht die Möglichkeit, dass Kriminelle bereits Zugangsdaten abgreifen konnten. Microsoft rät dazu, alle Zugangsdaten zu ändern, die auf dem betroffenen Rechner zugänglich waren, und dies am besten von einem anderen, sauberen Gerät aus durchzuführen.
Je schneller die Nutzer reagieren, desto besser können sie verhindern, dass aus einem vermeintlich harmlosen Klick ein ernsthaftes Sicherheitsproblem wird.
Quellen: t-online, WDR
Dieser Text wurde mit Hilfe von künstlicher Intelligenz in Zusammenarbeit mit unserer Redaktion erstellt.
