Neuer Betrugstrick: Ein Klick und Kriminelle übernehmen die Kontrolle
Für viele Internetnutzer hat die Sicherheit beim Surfen oberste Priorität. Betrügerische Aktivitäten kommen häufig in Form von Phishing-Mails vor, die dazu verleiten, auf Links zu klicken. Diese Links führen zu gefälschten Webseiten, auf denen die Nutzer aufgefordert werden, ihre Zugangsdaten, Kreditkarteninformationen oder andere persönliche Daten einzugeben. Eine neuartige Betrugsmasche jedoch wendet sich nicht nur an die persönlichen Daten der Nutzer, sondern zielt direkt auf deren Computer ab.
Diese Taktik beinhaltet eine gefälschte Sicherheitsüberprüfung, die auf den ersten Blick vertrauenswürdig aussieht, aber erhebliche Risiken birgt. Die Betrüger spielen mit dem Vertrauen der Nutzer in bekannte Sicherheitsdienste und präsentieren auf manipulierten Webseiten eine täuschend echte Sicherheitsüberprüfung von Cloudflare. Die Aufforderung lautet sinngemäß: „Bestätigen Sie, dass Sie ein Mensch sind“. Dabei müssen die Betrüger die gesamte Webseite nicht übernehmen; es genügt oft, eigenen JavaScript-Code einzuschleusen, der eine zusätzliche Oberfläche über den ursprünglichen Inhalt legt.
Wie der Betrug funktioniert
Im August 2026 identifizierte Microsoft eine Angriffskampagne mit dem Namen ClickFix oder TerminalFix, die diesem Muster folgt. Der Angriff wird automatisch ausgelöst, sobald die Nutzer den Anweisungen der vermeintlichen Cloudflare-Überprüfung folgen, was diese Masche besonders hinterhältig macht. Unwissentlich geben die Nutzer einen Befehl im Windows Terminal ein und führen ihn aus.
Das Windows Terminal fungiert hierbei als Benutzeroberfläche, während PowerShell als die ausführende Befehlsumgebung dient. Nach dem Besuch einer kompromittierten Webseite zeigt ein eingeschleustes JavaScript die gefälschte Cloudflare-Prüfung an. Wenn die Nutzer auf „Bestätigen Sie, dass Sie ein Mensch sind“ klicken, wird ein vorbereiteter PowerShell-Befehl in die Zwischenablage kopiert. Die Anweisungen an die Nutzer lauten:
- Windows-Taste + X
- „I“ oder Terminal öffnen
- Strg + V
- Enter
Der kopierte Inhalt bleibt zunächst unsichtbar, wird jedoch sichtbar, sobald er im Windows-Terminal eingefügt wird. Nach dem Drücken von Enter laden die Nutzer die Schadsoftware im Hintergrund herunter und helfen den Angreifern beim Starten. Eine legitime Cloudflare-Prüfung würde niemals das Windows Terminal oder PowerShell benötigen.
PowerShell und ihre Rolle bei den Angriffen
PowerShell ist kein Malware-Tool, sondern ein legitimes Windows-Programm, das Befehle ausführen, Dateien herunterladen und Programme starten kann. Angreifer nutzen häufig PowerShell, um nach einem ersten Zugriff Schadcode nachzuladen oder auszuführen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hebt hervor, dass solche Kommandozeileninterpreter häufig Teil von Angriffen sind.
Wie man den Betrugsversuch erkennt
Es ist herausfordernd, den Betrugsversuch zu identifizieren, da die Cloudflare-Technik an sich seriös ist. Cloudflare Turnstile dient normalerweise dazu, zwischen menschlichen Besuchern und automatisierten Zugriffen zu unterscheiden. Abhängig vom Risiko kann Turnstile entweder eine Checkbox anzeigen oder die Überprüfung vollständig im Hintergrund durchführen. Wenn jedoch eine vermeintliche Cloudflare-Prüfung dazu auffordert, das Windows Terminal oder eine andere Eingabeaufforderung zu öffnen, um einen unbekannten Befehl einzugeben, sollten Nutzer sofort abbrechen.
Ein grundlegender Grundsatz besagt: Eine Webseite sollte niemals erläutern müssen, welchen Windows-Befehl man ausführen soll, um zu beweisen, dass man ein Mensch ist. Bei Zweifeln ist es ratsam, die Seite sofort zu schließen.
Zusätzlich sollten Nutzer Vorsicht vor WhatsApp-Betrug walten lassen, da auch hier gefälschte Nachrichten im Umlauf sind.
Die Folgen des Enter-Klicks
Wurde bereits auf Enter gedrückt, ist es wichtig, die Situation ernst zu nehmen, auch wenn zunächst nichts auf dem Bildschirm geschieht. In der von Microsoft untersuchten TerminalFix-Kampagne löst der eingefügte PowerShell-Befehl einen mehrstufigen Angriff aus. Dieser Angriff lädt unter anderem ein Archiv aus dem Internet herunter, entpackt Dateien auf dem Computer und startet weitere Komponenten. Die Angreifer verwenden sogar legitime, signierte Windows-Dateien als Teil ihrer Angriffskette und integrieren manipulierte DLLs. Diese Strategie wird als DLL-Sideloading bezeichnet.
Zusätzlich laden die Angreifer weitere Schadprogramme nach und verstecken Informationen in scheinbar harmlosen PNG-Bildern. Diese Schadsoftware sammelt gezielt Informationen über das Netzwerk und kann einen so genannten Reverse-Tunnel einrichten, wodurch der betroffene Computer als Zugangspunkt zum internen Netzwerk fungiert. Microsoft warnt, dass betroffene Geräte als potenzielle Ausgangspunkte für weitere Angriffe betrachtet werden sollten.
Vollständiger Computer-Scan
Falls Nutzer den Befehl bereits ausgeführt haben, sollte der Computer sofort vom Internet getrennt werden. Danach empfiehlt es sich, den PC mit Microsoft Defender Offline zu scannen. Dieser Scan findet außerhalb des regulären Windows-Betriebs statt und kann auch Schadsoftware erfassen, die sich im laufenden System versteckt. Anschließend sollte ein vollständiger Scan mit Microsoft Defender durchgeführt werden.
Wenn das Programm Schadsoftware entdeckt, kann es diese in der Regel unter Quarantäne stellen oder entfernen. Komplizierter wird es, wenn die Schadsoftware bereits dauerhafte Startmechanismen eingerichtet hat. In den untersuchten Fällen haben die Angreifer beispielsweise Registry-Einträge und geplante Aufgaben zur erneuten Ausführung erstellt. Taucht die Schadsoftware nach der Bereinigung erneut auf oder kann Defender sie nicht vollständig entfernen, sollte eine Neuinstallation von Windows in Betracht gezogen werden.
Wesentliche Schutzmaßnahmen
Die wesentlichen Schutzmaßnahmen sind unkompliziert umsetzbar:
- Die Cloudflare-Prüfung findet im Browser statt. Nutzer müssen dafür keinen unbekannten Windows-Befehl ausführen.
- Führen Sie keine Befehle aus, die von einer fremden Webseite vorgegeben werden.
- Versuchen Sie nicht, die Prüfung auf irgendeine Weise abzubrechen. Schließen Sie die Seite sofort.
- Verlassen Sie den Tab und rufen Sie die gewünschte Webseite gegebenenfalls über eine bekannte Adresse erneut auf.
Wenn Nutzer bereits auf Enter gedrückt haben, sollten sie nicht in Panik geraten, jedoch auch nicht annehmen, dass nichts geschehen ist. Der Computer sollte vom Internet getrennt und gründlich überprüft werden.
Wenn der Schadcode bereits ausgeführt wurde, könnten Kriminelle Zugangsdaten abgegriffen haben. Microsoft empfiehlt, Zugangsdaten zu ändern, die auf dem betroffenen Computer gespeichert waren, und dies bestenfalls von einem anderen, sicheren Gerät aus zu tun.
Je schneller die Nutzer handeln, desto besser können sie verhindern, dass aus einem vermeintlich harmlosen Klick ein ernsthaftes Sicherheitsproblem entsteht.
„`
Quellen: t-online, WDR
Dieser Text wurde mit Hilfe von künstlicher Intelligenz in Zusammenarbeit mit unserer Redaktion erstellt.
