Microsoft Threat Intelligence: ClickFix-Angreifer nutzen Blockchain-Smart-Contracts zur Umgehung von Takedowns
Wichtige Erkenntnisse
- •Die Windows-Komponente nutzt EtherHiding, um bösartige Payloads in BNB-Smart-Chain-Smart-Contracts einzubetten, die nicht durch herkömmliche Server-Takedowns entfernt werden können, da nur der Eigentümer des eingesetzten Wallets deren Inhalte ändern kann.
- •Windows-Opfer werden durch gefälschte CAPTCHAs getäuscht und fügen von Angreifern bereitgestellte Befehle in den Run-Dialog ein, wodurch mehrstufige Ausführungsketten ausgelöst werden, die native Werkzeuge wie PowerShell, mshta, rundll32, msiexec und curl missbrauchen.
- •Eine parallele macOS-Operation über mehr als 250 algorithmisch benannte Domains setzt Browser-Fingerprinting ein, um bösartige Terminal-Befehle ausschließlich an echte macOS-Nutzer auszuliefern, während Sandboxes und automatisierte Scanner harmlose Köder erhalten.
- •Die Kampagnen verbreiten Malware wie Lumma Stealer, AsyncRAT, Xworm, MintsLoader, Atomic Stealer und MacSync, die Zugangsdaten, Kryptowährungs-Wallets, Keychain-Daten und SSH-Schlüssel stehlen.
- •Automatisierte Web-Content-Scans und sandboxbasierte Analysen können die bösartigen Payloads möglicherweise nicht erfassen, was die Bedeutung von Schulungen zur Endnutzer-Awareness als ergänzende Schutzmaßnahme unterstreicht.
Microsoft Threat Intelligence hat Erkenntnisse zu einer sich weiterentwickelnden ClickFix-Angriffskampagne veröffentlicht, die nun Blockchain-Infrastruktur und anspruchsvolles Browser-Fingerprinting einsetzt, um Windows- und macOS-Systeme in großem Maßstab zu kompromittieren. Die Kampagne veranschaulicht einen umfassenderen Trend, bei dem Bedrohungsakteure dezentrale Infrastruktur missbrauchen, um herkömmliche Abwehrmaßnahmen zu erschweren – ein Muster, das erstmals beim Einsatz kompromittierter Websites durch die ClearFake-Kampagne beobachtet wurde.
Windows-Operationen nutzen EtherHiding auf der BNB Smart Chain
Die auf Windows fokussierte Komponente der Kampagne verwendet eine Technik namens EtherHiding, die bösartige Befehle direkt in Smart-Contracts auf der BNB Smart Chain speichert. EtherHiding wurde Ende 2023 von Guardio Labs als Weiterentwicklung der ClearFake-Kampagne öffentlich dokumentiert. Die Übernahme durch zusätzliche Bedrohungscluster signalisiert, dass sich dieser Ansatz über seine Urheber hinaus verbreitet. Angreifer injizieren Base64-kodiertes JavaScript in kompromittierte Websites; dieser Code ruft die On-Chain-Smart-Contracts über RPC-Gateways ab, um Anweisungen für die nächste Stufe abzurufen.
Da die bösartige Payload On-Chain liegt, kann sie nicht durch herkömmliche Takedown- oder Sinkholing-Methoden beseitigt werden. Nur der Eigentümer der eingesetzten Kryptowährungs-Wallet kann die Inhalte des Contracts ändern. Dies verlagert die Herausforderung der Bereinigung von der Deaktivierung eines Servers hin zur Koordinierung mit Blockchain-Infrastrukturbetreibern – ein grundlegend anderes Problem für Verteidiger.
Den Opfern werden gefälschte CAPTCHAs angezeigt, die sie anweisen, den Windows-Run-Dialog zu öffnen und von den Angreifern bereitgestellte Befehle einzufügen. Die daraus resultierenden Ausführungsketten missbrauchen native Systemwerkzeuge, darunter PowerShell, mshta, rundll32, msiexec und curl. Diese Ketten verwenden häufig Caret-Splitting- und Umgebungsvariablen-Verschleierungstechniken, um Sicherheitslösungen zu umgehen.
Microsoft berichtet, dass diese Kampagnen täglich Tausende von Enterprise- und Endverbrauchergeräten weltweit angreifen und Payloads wie Lumma Stealer, Xworm, AsyncRAT und MintsLoader ausliefern. Lumma Stealer und AsyncRAT sind im Rahmen von Malware-as-a-Service-Arrangements weit verbreitet, was die Einstiegshürde für kriminelle Akteure senkt. Laut Microsoft kann eine einzige erfolgreiche Infektion Zugangsdaten offenlegen, Persistenz herstellen, laterale Bewegung innerhalb eines Netzwerks ermöglichen und Wege zu menschlich gesteuerter Ransomware eröffnen.
Microsoft Threat Intelligence hat einen Cluster kompromittierter Websites identifiziert, die ClickFix-Köder anzeigen und EtherHiding verwenden – eine Technik, die mit der ClearFake-Kampagne in Verbindung steht. Ein injiziertes Base64-kodiertes JavaScript kontaktiert ein BNB-Smart-Chain-RPC-Gateway, um einen Smart-Contract abzufragen… pic.twitter.com/FOivGuUxVV
— Microsoft Threat Intelligence (@MsftSecIntel) August 6, 2026
macOS-Operationen setzen Anti-Analyse-Fingerprinting-Gates ein
Parallel dazu verfolgte Microsoft einen macOS-ClickFix-Cluster, der sich von der offenen Auslieferung bösartiger Terminal-Befehle hin zur Verbergen hinter serverseitigen Browser-Fingerprinting-Gates entwickelt hat. Die Operation umfasst mehr als 250 Domains, von denen viele algorithmische Namensmuster wie „filewordword"-Konstruktionen aufweisen.
Wenn ein Besucher auf einer dieser Domains eintrifft, erfasst eine leichtgewichtige JavaScript-Profiling-Routine Browser-Attribute, WebGL-GPU-Signale, Zeitzonen-Offsets und den iframe-Kontext und übermittelt diesen Fingerabdruck zur Auswertung an den Server. Anfragen, die diese Prüfungen nicht bestehen – wie solche aus Sandboxes, virtuellen Maschinen oder Nicht-macOS-Browsern – erhalten harmlose Köderseiten oder leere Inhalte. Echten macOS-Besuchern wird hingegen eine gefälschte „Verified Publisher"-Download-Seite mit einem bösartigen Terminal-Befehl angezeigt.
Dieses Traffic-Verteilungssystem liefert Informationsdiebe wie MacSync und Atomic Stealer, die darauf ausgelegt sind, Keychain-Daten, Browser-Anmeldedaten, Kryptowährungs-Wallets und SSH-Schlüssel zu erbeuten. Atomic Stealer, auch unter der Bezeichnung AMOS bekannt, hat sich als eine der kommerziell aktivsten macOS-Malware-Familien etabliert, wird in Cybercrime-Foren beworben und regelmäßig aktualisiert, um zusätzliche Wallet-Erweiterungen und Anmeldedatenspeicher anzugreifen.
Während die Fingerprinting-Techniken selbst nicht neu sind, erschwert ihre Integration in die ClickFix-Infrastruktur die automatisierte Erkennung und Analyse, da bösartige Inhalte ausschließlich an gezielt qualifizierte Opfer ausgeliefert werden. Organisationen, die auf automatisierte Web-Content-Scans oder sandboxbasierte Bedrohungsanalysen angewiesen sind, können die bösartigen Payloads dieser Kampagnen möglicherweise nicht erfassen, was den Wert von Schulungen zur Endnutzer-Awareness als ergänzende Schutzmaßnahme unterstreicht.