ClickFix: So legen Angreifer die Falle – und wie Sie sich schützen
ClickFix ist eine Social Engineering Methode, die Nutzer dazu bringt, eigenhändig Schadcode auszuführen – kein Softwarefehler, sondern reine Täuschung. Angreifer nutzen gefälschte Google reCAPTCHA und Cloudflare Verifizierungsseiten.
Veröffentlicht vonBearbeitet mit DeepSeek-V4-FlashBilder erstellt mit GPT Image 1.5
ClickFix ist eine Social Engineering Methode, die Nutzer dazu bringt, eigenhändig Schadcode auszuführen – kein Softwarefehler, sondern reine Täuschung.
Angreifer nutzen gefälschte Google reCAPTCHA und Cloudflare Verifizierungsseiten.
Die Palette der Schädlinge reicht von HijackLoader, CastleLoader, NetSupport RAT und StealC bis hin zu ResiLoader, einem neuen Schädling, der gezielt über 140 Sicherheitsprozesse beendet, bevor die eigentliche Malware...
Search & fact-check with cited sources for What is the ClickFix malware campaign that has been active since late 2025, how does its social eClickFix attacks use fake verification pages that instruct users to copy, paste, and execute malicious commands.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the ClickFix malware campaign that has been active since late 2025, how does its social e. Article summary: Here is a comprehensive, fact-checked breakdown of the ClickFix malware campaign and related topics.. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visua
openai.com
ClickFix ist keine Sicherheitslücke in Windows oder ein Fehler in einer bestimmten Anwendung. Es ist eine Social-Engineering-Technik, die ausschließlich auf das Verhalten des Nutzers setzt – und sie ist zur häufigsten Methode für Erstzugriffe auf Systeme geworden . Für die Jahre 2025–2026 haben Cyberkriminelle und sogar staatlich gelenkte Gruppen diese Methode in großem Stil übernommen. Sie nutzen gefälschte Google-reCAPTCHA- und Cloudflare-Verifizierungsseiten, um Opfer dazu zu bringen, gefährliche Befehle auf dem eigenen Rechner auszuführen .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „ClickFix: So legen Angreifer die Falle – und wie Sie sich schützen“?
ClickFix ist eine Social Engineering Methode, die Nutzer dazu bringt, eigenhändig Schadcode auszuführen – kein Softwarefehler, sondern reine Täuschung.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
ClickFix ist eine Social Engineering Methode, die Nutzer dazu bringt, eigenhändig Schadcode auszuführen – kein Softwarefehler, sondern reine Täuschung. Angreifer nutzen gefälschte Google reCAPTCHA und Cloudflare Verifizierungsseiten.
Was soll ich als nächstes in der Praxis tun?
Die Palette der Schädlinge reicht von HijackLoader, CastleLoader, NetSupport RAT und StealC bis hin zu ResiLoader, einem neuen Schädling, der gezielt über 140 Sicherheitsprozesse beendet, bevor die eigentliche Malware...
ClickFix: So legen Angreifer die Falle – und wie Sie sich schützen
ClickFix ist eine Social Engineering Methode, die Nutzer dazu bringt, eigenhändig Schadcode auszuführen – kein Softwarefehler, sondern reine Täuschung. Angreifer nutzen gefälschte Google reCAPTCHA und Cloudflare Verifizierungsseiten.
Veröffentlicht vonBearbeitet mit DeepSeek-V4-FlashBilder erstellt mit GPT Image 1.5
ClickFix ist eine Social Engineering Methode, die Nutzer dazu bringt, eigenhändig Schadcode auszuführen – kein Softwarefehler, sondern reine Täuschung.
Angreifer nutzen gefälschte Google reCAPTCHA und Cloudflare Verifizierungsseiten.
Die Palette der Schädlinge reicht von HijackLoader, CastleLoader, NetSupport RAT und StealC bis hin zu ResiLoader, einem neuen Schädling, der gezielt über 140 Sicherheitsprozesse beendet, bevor die eigentliche Malware...
Search & fact-check with cited sources for What is the ClickFix malware campaign that has been active since late 2025, how does its social eClickFix attacks use fake verification pages that instruct users to copy, paste, and execute malicious commands.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the ClickFix malware campaign that has been active since late 2025, how does its social e. Article summary: Here is a comprehensive, fact-checked breakdown of the ClickFix malware campaign and related topics.. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visua
openai.com
ClickFix ist keine Sicherheitslücke in Windows oder ein Fehler in einer bestimmten Anwendung. Es ist eine Social-Engineering-Technik, die ausschließlich auf das Verhalten des Nutzers setzt – und sie ist zur häufigsten Methode für Erstzugriffe auf Systeme geworden . Für die Jahre 2025–2026 haben Cyberkriminelle und sogar staatlich gelenkte Gruppen diese Methode in großem Stil übernommen. Sie nutzen gefälschte Google-reCAPTCHA- und Cloudflare-Verifizierungsseiten, um Opfer dazu zu bringen, gefährliche Befehle auf dem eigenen Rechner auszuführen .
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „ClickFix: So legen Angreifer die Falle – und wie Sie sich schützen“?
ClickFix ist eine Social Engineering Methode, die Nutzer dazu bringt, eigenhändig Schadcode auszuführen – kein Softwarefehler, sondern reine Täuschung.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
ClickFix ist eine Social Engineering Methode, die Nutzer dazu bringt, eigenhändig Schadcode auszuführen – kein Softwarefehler, sondern reine Täuschung. Angreifer nutzen gefälschte Google reCAPTCHA und Cloudflare Verifizierungsseiten.
Was soll ich als nächstes in der Praxis tun?
Die Palette der Schädlinge reicht von HijackLoader, CastleLoader, NetSupport RAT und StealC bis hin zu ResiLoader, einem neuen Schädling, der gezielt über 140 Sicherheitsprozesse beendet, bevor die eigentliche Malware...
Wie ClickFix funktioniert: Die Täuschung in vier Schritten
Der Angriff folgt in fast allen dokumentierten Kampagnen einem einheitlichen Muster :
Der Köder: Ein Nutzer besucht eine kompromittierte oder bösartige Website und sieht eine gefälschte Verifizierungsaufforderung – eine nachgebaute Google-reCAPTCHA, eine verfälschte Cloudflare-„Verify you are human“-Seite, eine gefälschte Browser-Update-Meldung oder einen betrügerischen Fehlerbildschirm, der angeblich von QuickBooks oder Booking.com stammt .
Anleitung zum Kopieren und Einfügen: Die Seite zeigt Anweisungen wie: „Drücken Sie Win + R, dann Strg + V, dann Enter“ – angeblich um die Verifizierung abzuschließen .
Die versteckte Nutzlast: Was in die Zwischenablage kopiert wurde, ist in Wirklichkeit ein schädlicher PowerShell-, mshta- oder curl-Befehl, der einen Schadsoftware-Lader von einem entfernten Server herunterlädt und startet .
Ausführung: Der Befehl läuft mit den Berechtigungen des Nutzers. Da der Nutzer ihn selbst eingefügt und gestartet hat, erkennen Endpunktschutzprogramme ihn oft nicht als Eindringling .
Diese Technik wird auch als Pastejacking bezeichnet, weil sie die Zwischenablage als Einfallstor nutzt .
Verteilte Schadsoftware in ClickFix-Kampagnen
Angreifer haben ClickFix-Köder genutzt, um eine breite Palette von Schadsoftware einzuschleusen, oft in mehrstufigen Infektionsketten:
HijackLoader: Ein Lader der ersten Stufe, der seit mindestens Juni 2025 in ClickFix-Ketten beobachtet wird, häufig gefolgt vom Datendieb DeerStealer .
CastleLoader (auch CastleBot): Ein Malware-as-a-Service-Framework, das seit Anfang 2025 aktiv ist. Eine Kampagne nutzte eine gefälschte Website zur Hintergrundentfernung, um CastleLoader einzuschleusen, der dann NetSupport RAT und einen eigenen .NET-Datendieb installierte, der Browser-Zugangsdaten, Kryptowährungs-Wallets und Telegram-Sitzungen ausspähte .
NetSupport RAT: Ein legitimes Fernwartungstool, das von Angreifern für den dauerhaften Hintertür-Zugriff zweckentfremdet wird .
StealC: Ein Datendieb, der auf Browser-Zugangsdaten und Kryptowährungs-Wallets abzielt .
Amatera: Ein Datendieb, der über eine ClickFix-Kampagne verbreitet wurde, die gefälschte CAPTCHAs mit signierten Microsoft App-V-Skripten kombinierte .
Rust-basierter Datendieb: In polymorphen ClickFix-Kampagnen dokumentiert, die Ende 2025 begannen .
DeerStealer: Wurde als letzte ausführbare Datei nach HijackLoader beobachtet .
ResiLoader: Ein neu dokumentierter Lader, der speziell entwickelt wurde, um über 140 Antiviren- und Sicherheitsprozesse auf dem Rechner des Opfers zu beenden und so die Abwehr auszuschalten, bevor die eigentliche Nutzlast startet .
Verbreitungsmethoden
Die Angreifer nutzen eine breite Mischung aus Infrastruktur, um ClickFix-Angriffe zu hosten und zu verbreiten:
Cloudflare R2-Speicher: Wird genutzt, um schädliche Binärdateien zu hosten .
Cloudflare Pages-Subdomains: Werden missbraucht, um gefälschte CAPTCHA-Seiten mit Cloudflares eigenem vertrauenswürdigem Zertifikat auszuliefern .
Dedik Services Limited Hosting: Wurde als Hosting-Anbieter für ClickFix-Kommandostrukturen beobachtet .
Abgelaufene Domains: Registrierte oder neu registrierte abgelaufene Domains werden für das Sammeln von Zugangsdaten und die Auslieferung von Schadsoftware verwendet .
Kompromittierte Websites: Der häufigste Einstiegsvektor. Angreifer injizieren schädliches JavaScript oder iFrames in legitime Seiten (oft über Plugin-Sicherheitslücken oder CMS-Exploits), die Besucher auf ClickFix-Landingpages umleiten .
SEO-Vergiftung und Malvertising: Gefälschte Installer-Seiten und Portale für Raubkopien, die über Suchergebnisse beworben werden .
Ausnutzung von Ghost-CMS-Sicherheitslücken: Im Mai 2026 nutzten Angreifer eine kritische SQL-Injection-Sicherheitslücke in Ghost CMS (CVE‑2026‑26980) aus, um über 700 legitime Bildungs- und Technologie-Websites zu kapern und ClickFix-Aufforderungen einzuschleusen .
Warum ClickFix so dominant ist
Der Microsoft Digital Defense Report 2025 identifizierte ClickFix als die #1 Methode für Erstzugriffe. Sie war für 47 % aller Angriffe verantwortlich, die Microsoft Defender Experts im Laufe des Jahres beobachteten – und übertraf damit sogar traditionelles Phishing (35 %) .
ESET-Telemetrie verzeichnete einen Anstieg von 517 % bei ClickFix-Angriffen allein in der ersten Hälfte des Jahres 2025 .
In einer von Menlo Labs dokumentierten Kampagne lieferte ClickFix plattformübergreifende Nutzlasten aus: Windows PowerShell-Befehle, macOS .command-Skripte und Linux Bash-Skripte – alles von einem einzigen polymorphen JavaScript-Köder .
Das US-Gesundheitsministerium (HHS) gab im Juli 2026 eine branchenspezifische Warnung zu ClickFix heraus und bestätigte damit, dass die Technik auch in der kritischen Infrastruktur angekommen ist .
Recorded Futures Insikt Group bewertete im März 2026, dass ClickFix wahrscheinlich auch 2026 der dominierende Einstiegsvektor bleiben wird .
Was Sie tun können: Empfehlungen der Sicherheitsforscher
Da ClickFix menschliches Verhalten und keine Software-Sicherheitslücke ausnutzt, stützt sich die Verteidigung stark auf technische Kontrollen und die Sensibilisierung der Nutzer :
PowerShell-Ausführung einschränken: Blockieren Sie nicht-administrativen Nutzern die Ausführung von PowerShell-Skripten. Setzen Sie die Ausführungsrichtlinie per Gruppenrichtlinie auf Restricted und protokollieren Sie alle PowerShell-Ereignisse .
Windows-Ausführen-Dialog deaktivieren: Ein Registry-Eingriff (Richtlinie NoRun) kann verhindern, dass Win+R zum Einfügen und Ausführen von Befehlen genutzt wird .
Unaufgeforderte Befehlsaufforderungen als Alarmzeichen betrachten: Keine legitime Website oder kein Dienst fordert einen Nutzer auf, Win+R zu drücken, einen Befehl einzufügen und Enter zu drücken. Dies sollte der oberste Punkt in der Sensibilisierungsschulung sein .
Ausführung von mshta, cscript und curl im Nutzerkontext blockieren: Verwenden Sie AppLocker oder Windows Defender Application Control, um Skript-Interpreter einzuschränken .
Erkennungsregeln für Endgeräte bereitstellen: Überwachen Sie auf ungewöhnliche powershell.exe -ep bypass Elternprozesse, die Prozessabstammung von explorer.exe zu Skript-Interpretern und RunMRU-Registry-Artefakte .
Sicherheitsfunktionen für die Zwischenablage nutzen: Browserbasierte Schutzmechanismen für die Zwischenablage können den Kopieren-Einfügen-Mechanismus unterbinden, der für ClickFix zentral ist.
Operas Paste-Protect-Funktion
Opera hat eine native Paste Protect-Funktion eingeführt (verfügbar in Opera 100+ für Windows, macOS und Linux), die clipboard-basierte Pastejacking-Angriffe abfängt und blockiert. Wenn eine Website versucht, programmatisch eine verdächtige Nutzlast in die Zwischenablage zu schreiben und den Nutzer dann zum Einfügen auffordert, warnt Paste Protect den Nutzer und verhindert die Ausführung der Operation. Dies mildert die zentrale ClickFix-Technik direkt ab, ohne dass eine Erweiterung installiert werden muss.
proofpoint.comSecurity Brief: ClickFix Social Engineering Technique Floods Threat ...
Wie ClickFix funktioniert: Die Täuschung in vier Schritten
Der Angriff folgt in fast allen dokumentierten Kampagnen einem einheitlichen Muster :
Der Köder: Ein Nutzer besucht eine kompromittierte oder bösartige Website und sieht eine gefälschte Verifizierungsaufforderung – eine nachgebaute Google-reCAPTCHA, eine verfälschte Cloudflare-„Verify you are human“-Seite, eine gefälschte Browser-Update-Meldung oder einen betrügerischen Fehlerbildschirm, der angeblich von QuickBooks oder Booking.com stammt .
Anleitung zum Kopieren und Einfügen: Die Seite zeigt Anweisungen wie: „Drücken Sie Win + R, dann Strg + V, dann Enter“ – angeblich um die Verifizierung abzuschließen .
Die versteckte Nutzlast: Was in die Zwischenablage kopiert wurde, ist in Wirklichkeit ein schädlicher PowerShell-, mshta- oder curl-Befehl, der einen Schadsoftware-Lader von einem entfernten Server herunterlädt und startet .
Ausführung: Der Befehl läuft mit den Berechtigungen des Nutzers. Da der Nutzer ihn selbst eingefügt und gestartet hat, erkennen Endpunktschutzprogramme ihn oft nicht als Eindringling .
Diese Technik wird auch als Pastejacking bezeichnet, weil sie die Zwischenablage als Einfallstor nutzt .
Verteilte Schadsoftware in ClickFix-Kampagnen
Angreifer haben ClickFix-Köder genutzt, um eine breite Palette von Schadsoftware einzuschleusen, oft in mehrstufigen Infektionsketten:
HijackLoader: Ein Lader der ersten Stufe, der seit mindestens Juni 2025 in ClickFix-Ketten beobachtet wird, häufig gefolgt vom Datendieb DeerStealer .
CastleLoader (auch CastleBot): Ein Malware-as-a-Service-Framework, das seit Anfang 2025 aktiv ist. Eine Kampagne nutzte eine gefälschte Website zur Hintergrundentfernung, um CastleLoader einzuschleusen, der dann NetSupport RAT und einen eigenen .NET-Datendieb installierte, der Browser-Zugangsdaten, Kryptowährungs-Wallets und Telegram-Sitzungen ausspähte .
NetSupport RAT: Ein legitimes Fernwartungstool, das von Angreifern für den dauerhaften Hintertür-Zugriff zweckentfremdet wird .
StealC: Ein Datendieb, der auf Browser-Zugangsdaten und Kryptowährungs-Wallets abzielt .
Amatera: Ein Datendieb, der über eine ClickFix-Kampagne verbreitet wurde, die gefälschte CAPTCHAs mit signierten Microsoft App-V-Skripten kombinierte .
Rust-basierter Datendieb: In polymorphen ClickFix-Kampagnen dokumentiert, die Ende 2025 begannen .
DeerStealer: Wurde als letzte ausführbare Datei nach HijackLoader beobachtet .
ResiLoader: Ein neu dokumentierter Lader, der speziell entwickelt wurde, um über 140 Antiviren- und Sicherheitsprozesse auf dem Rechner des Opfers zu beenden und so die Abwehr auszuschalten, bevor die eigentliche Nutzlast startet .
Verbreitungsmethoden
Die Angreifer nutzen eine breite Mischung aus Infrastruktur, um ClickFix-Angriffe zu hosten und zu verbreiten:
Cloudflare R2-Speicher: Wird genutzt, um schädliche Binärdateien zu hosten .
Cloudflare Pages-Subdomains: Werden missbraucht, um gefälschte CAPTCHA-Seiten mit Cloudflares eigenem vertrauenswürdigem Zertifikat auszuliefern .
Dedik Services Limited Hosting: Wurde als Hosting-Anbieter für ClickFix-Kommandostrukturen beobachtet .
Abgelaufene Domains: Registrierte oder neu registrierte abgelaufene Domains werden für das Sammeln von Zugangsdaten und die Auslieferung von Schadsoftware verwendet .
Kompromittierte Websites: Der häufigste Einstiegsvektor. Angreifer injizieren schädliches JavaScript oder iFrames in legitime Seiten (oft über Plugin-Sicherheitslücken oder CMS-Exploits), die Besucher auf ClickFix-Landingpages umleiten .
SEO-Vergiftung und Malvertising: Gefälschte Installer-Seiten und Portale für Raubkopien, die über Suchergebnisse beworben werden .
Ausnutzung von Ghost-CMS-Sicherheitslücken: Im Mai 2026 nutzten Angreifer eine kritische SQL-Injection-Sicherheitslücke in Ghost CMS (CVE‑2026‑26980) aus, um über 700 legitime Bildungs- und Technologie-Websites zu kapern und ClickFix-Aufforderungen einzuschleusen .
Warum ClickFix so dominant ist
Der Microsoft Digital Defense Report 2025 identifizierte ClickFix als die #1 Methode für Erstzugriffe. Sie war für 47 % aller Angriffe verantwortlich, die Microsoft Defender Experts im Laufe des Jahres beobachteten – und übertraf damit sogar traditionelles Phishing (35 %) .
ESET-Telemetrie verzeichnete einen Anstieg von 517 % bei ClickFix-Angriffen allein in der ersten Hälfte des Jahres 2025 .
In einer von Menlo Labs dokumentierten Kampagne lieferte ClickFix plattformübergreifende Nutzlasten aus: Windows PowerShell-Befehle, macOS .command-Skripte und Linux Bash-Skripte – alles von einem einzigen polymorphen JavaScript-Köder .
Das US-Gesundheitsministerium (HHS) gab im Juli 2026 eine branchenspezifische Warnung zu ClickFix heraus und bestätigte damit, dass die Technik auch in der kritischen Infrastruktur angekommen ist .
Recorded Futures Insikt Group bewertete im März 2026, dass ClickFix wahrscheinlich auch 2026 der dominierende Einstiegsvektor bleiben wird .
Was Sie tun können: Empfehlungen der Sicherheitsforscher
Da ClickFix menschliches Verhalten und keine Software-Sicherheitslücke ausnutzt, stützt sich die Verteidigung stark auf technische Kontrollen und die Sensibilisierung der Nutzer :
PowerShell-Ausführung einschränken: Blockieren Sie nicht-administrativen Nutzern die Ausführung von PowerShell-Skripten. Setzen Sie die Ausführungsrichtlinie per Gruppenrichtlinie auf Restricted und protokollieren Sie alle PowerShell-Ereignisse .
Windows-Ausführen-Dialog deaktivieren: Ein Registry-Eingriff (Richtlinie NoRun) kann verhindern, dass Win+R zum Einfügen und Ausführen von Befehlen genutzt wird .
Unaufgeforderte Befehlsaufforderungen als Alarmzeichen betrachten: Keine legitime Website oder kein Dienst fordert einen Nutzer auf, Win+R zu drücken, einen Befehl einzufügen und Enter zu drücken. Dies sollte der oberste Punkt in der Sensibilisierungsschulung sein .
Ausführung von mshta, cscript und curl im Nutzerkontext blockieren: Verwenden Sie AppLocker oder Windows Defender Application Control, um Skript-Interpreter einzuschränken .
Erkennungsregeln für Endgeräte bereitstellen: Überwachen Sie auf ungewöhnliche powershell.exe -ep bypass Elternprozesse, die Prozessabstammung von explorer.exe zu Skript-Interpretern und RunMRU-Registry-Artefakte .
Sicherheitsfunktionen für die Zwischenablage nutzen: Browserbasierte Schutzmechanismen für die Zwischenablage können den Kopieren-Einfügen-Mechanismus unterbinden, der für ClickFix zentral ist.
Operas Paste-Protect-Funktion
Opera hat eine native Paste Protect-Funktion eingeführt (verfügbar in Opera 100+ für Windows, macOS und Linux), die clipboard-basierte Pastejacking-Angriffe abfängt und blockiert. Wenn eine Website versucht, programmatisch eine verdächtige Nutzlast in die Zwischenablage zu schreiben und den Nutzer dann zum Einfügen auffordert, warnt Paste Protect den Nutzer und verhindert die Ausführung der Operation. Dies mildert die zentrale ClickFix-Technik direkt ab, ohne dass eine Erweiterung installiert werden muss.
proofpoint.comSecurity Brief: ClickFix Social Engineering Technique Floods Threat ...
fleetdm.comClickFix copy/paste social engineering: threat brief and ...
eb.whitecloudsecurity.com21 - ClickFix: Social Engineering Zero-Trust Defense - White Cloud ...
microsoft.comThink before you Click(Fix): Analyzing the ClickFix social ... - Microsoft
splunk.comBeyond The Click: Unveiling Fake CAPTCHA Campaigns - Splunk