Inhaltsverzeichnis:
Microsoft warnt vor einer neuen ClickFix-Angriffswelle, die manipulierte Websites, gefälschte CAPTCHAs und Smart Contracts auf der BNB Smart Chain verbindet. Die Kampagne zielt auf Windows- und macOS-Nutzer ab und hat es unter anderem auf Passwörter, Krypto-Wallets und sensible Systemdaten abgesehen. Wie die Angreifer Blockchain-Infrastruktur für ihre Schadsoftware missbrauchen und warum die Methode klassische Sicherheitsmaßnahmen erschwert, zeigt der folgende Pressespiegel.
Microsoft warnt vor ClickFix-Kampagne mit Blockchain-Infrastruktur
Microsoft Threat Intelligence hat eine Angriffswelle unter dem Namen ClickFix identifiziert. Nach Angaben von Börse Express und AD HOC NEWS missbrauchen die Angreifer die Infrastruktur der BNB Smart Chain, um Schadsoftware zu steuern und Sicherheitskontrollen zu umgehen.
Im Zentrum steht die sogenannte EtherHiding-Technik. Dabei werden bösartige Anweisungen in Smart Contracts auf der BNB Smart Chain hinterlegt und über ein RPC-Gateway abgerufen. Weil die Informationen auf der Blockchain dezentral gespeichert und nicht ohne Weiteres gelöscht werden können, erschwert dieses Vorgehen die Abschaltung der Infrastruktur.
Die Angriffe beginnen laut den Quellen mit der Kompromittierung legitimer Websites. Dort wird unter anderem manipuliertes Base64-JavaScript eingeschleust, das mit einem Smart Contract kommuniziert und die nächsten Schritte des Angriffs abruft.
„Microsoft Threat Intelligence hat eine weitreichende Cyber-Angriffswelle unter dem Namen ClickFix identifiziert.“
Zusammenfassung: Die ClickFix-Kampagne kombiniert kompromittierte Websites mit Smart Contracts auf der BNB Smart Chain. Dadurch soll die Steuerungsinfrastruktur der Schadsoftware widerstandsfähiger gegen herkömmliche Gegenmaßnahmen werden.
Gefälschte CAPTCHA-Abfragen als Einstieg
Die Opfer werden auf manipulierten Internetseiten durch gefälschte CAPTCHA-Abfragen zur Interaktion verleitet. Sobald Nutzer den angezeigten Anweisungen folgen oder Befehle manuell ausführen, kann der Infektionsprozess auf dem jeweiligen Gerät beginnen.
Börse Express berichtet, dass dabei unter anderem der Lumma Stealer eingesetzt wird. Die Schadsoftware zielt auf sensible Daten wie Passwörter und Informationen aus Krypto-Wallets. AD HOC NEWS nennt außerdem XWorm, AsyncRAT und MintsLoader als weitere Schadprogramme, die im Zusammenhang mit der Kampagne beobachtet wurden.
- Gefälschte CAPTCHA-Abfragen auf manipulierten Websites
- Abruf bösartiger Befehle über ein RPC-Gateway
- Verbreitung von Lumma Stealer, XWorm, AsyncRAT und MintsLoader
- Diebstahl sensibler Daten und möglicher Fernzugriff auf infizierte Systeme
Zusammenfassung: Die Angreifer nutzen scheinbar legitime CAPTCHA-Elemente, um Nutzer zur Ausführung von Befehlen zu bewegen. Zu den genannten Zielen gehören Passwörter, Krypto-Wallets und der Zugriff auf infizierte Geräte.
Windows- und macOS-Systeme betroffen
Die Kampagne richtet sich laut Microsoft gegen Windows- und macOS-Systeme. Sicherheitsanalysten beobachteten Browser-Fingerprinting und weitere Identifizierungstechniken, mit denen die Angreifer ihre Ziele gezielt auswählen.
Für macOS wurde eine spezielle Variante beschrieben, die mehr als 250 algorithmisch generierte Domains verwendet. Ein serverseitiges Auswahlverfahren soll dafür sorgen, dass die Schadsoftware gezielt echten macOS-Nutzern angezeigt wird.
In diesem Teil der Kampagne wurden MacSync und der Atomic Stealer, auch AMOS genannt, beobachtet. Nach Analysen von Huntress handelt es sich bei der macOS-Schadsoftware um einen in der Programmiersprache Go geschriebenen Stealer. Dieser kann laut AD HOC NEWS Passwörter aus Browsern sowie Daten aus dem Apple-Schlüsselbund entwenden.
Darüber hinaus soll die Schadsoftware Kryptowährungs-Transaktionen umleiten oder Wallets vollständig leeren können. Als betroffene digitale Vermögenswerte werden Bitcoin, Ethereum, Litecoin, Dogecoin, Monero und XRP genannt.
| Betroffene Systeme | Genannte Schadsoftware | Genannte Ziele |
|---|---|---|
| Windows | Lumma Stealer, XWorm, AsyncRAT, MintsLoader | Sensible Daten extrahieren und Fernzugriff ermöglichen |
| macOS | MacSync, Atomic Stealer (AMOS) | Browser-Passwörter, Apple-Schlüsselbund und Kryptowährungs-Wallets |
Zusammenfassung: Die Quellen beschreiben Angriffe auf Windows und macOS mit unterschiedlichen Schadprogrammen. Besonders hervorgehoben werden der Diebstahl von Zugangsdaten, Schlüsselbundinformationen und Kryptowährungsvermögen.
Mehrstufige Angriffsketten umgehen Sicherheitsmechanismen
Neben der Blockchain-basierten Steuerung setzen die Angreifer weitere Techniken ein, um ihre Aktivitäten zu verschleiern. Experten von Unit 42 entdeckten laut AD HOC NEWS eine Variante, die legitime Systemdateien wie pcalua.exe und den WebDAV-Standard missbraucht.
In der beschriebenen Angriffskette startet das System zunächst pcalua.exe. Danach werden PowerShell-Befehle ausgeführt, bevor über die Windows-Verwaltungsinstrumentierung WMI die Datei cmd.exe aufgerufen wird.
Anschließend wird ein WebDAV-Verzeichnis über eine verschlüsselte HTTPS-Verbindung eingebunden. Eine bösartige DLL-Datei wird schließlich mittels rundll32 geladen. Der mehrstufige Ablauf soll verhaltensbasierte Sicherheitsanalysen umgehen und die Installation der Infostealer-Software unbemerkt abschließen.
- Start von pcalua.exe
- Ausführung von PowerShell-Befehlen
- Aufruf von cmd.exe über WMI
- Einbindung eines WebDAV-Verzeichnisses über eine verschlüsselte HTTPS-Verbindung
- Laden einer bösartigen DLL mittels rundll32
Zusammenfassung: Die ClickFix-Varianten kombinieren mehrere legitime Systemfunktionen und Standards. Der mehrstufige Ablauf soll eine Erkennung durch verhaltensbasierte Sicherheitslösungen erschweren.
Verbindung zur ClearFake-Gruppe und Infrastruktur der Angriffe
Branchenbeobachter bringen die ClickFix-Kampagne laut Börse Express mit der ClearFake-Gruppe in Verbindung. Diese sei bereits seit Ende des Jahres 2025 aktiv.
Für die macOS-Angriffe wird laut Huntress die Aeza Group als Infrastrukturbetreiber genannt. AD HOC NEWS bezeichnet sie als sanktionierten russischen Hosting-Anbieter.
Die Quellen werten die Nutzung legitimer Blockchain-Infrastruktur als Zeichen einer zunehmenden Professionalisierung der Angreifer. Durch die Verlagerung von Befehlen in Smart Contracts sollen klassische Sicherheitsmaßnahmen und die Abschaltung herkömmlicher Command-and-Control-Server umgangen werden.
Zusammenfassung: Die Kampagne wird mit der ClearFake-Gruppe in Verbindung gebracht und nutzt mehrere Infrastrukturkomponenten. Dazu zählen Smart Contracts auf der BNB Smart Chain sowie die im Zusammenhang mit macOS-Angriffen genannte Aeza Group.
BNB Chain mit hoher Marktpräsenz
Die Warnung erfolgt zu einem Zeitpunkt, an dem die BNB Chain laut Börse Express eine erhebliche Marktpräsenz erreicht hat. Jüngsten Daten zufolge hat die BNB Chain mit 80 Millionen Stablecoin-Haltern das Netzwerk Tron überholt.
Auch institutionelle Investoren zeigen dem Bericht zufolge Interesse. Im Smart Contract Fund des Vermögensverwalters Grayscale stellt BNB mit einem Anteil von 31 Prozent die größte Position dar.
Die Marktdaten der Digitalwährung BNB wurden laut Börse Express von den Sicherheitsmeldungen zuletzt nur geringfügig beeinflusst. In den vergangenen Tagen notierte die Währung bei etwa 590,65 US-Dollar, was einem leichten Rückgang von knapp unter 0,5 Prozent entsprach. Am 8. August 2026 wurde der Kurs mit 590,66 US-Dollar angegeben.
| Angabe | Wert |
|---|---|
| Stablecoin-Halter der BNB Chain | 80 Millionen |
| BNB-Anteil im Smart Contract Fund von Grayscale | 31 Prozent |
| BNB-Kurs in den vergangenen Tagen | etwa 590,65 US-Dollar |
| Veränderung | knapp unter 0,5 Prozent |
| BNB-Kurs am 8. August 2026 | 590,66 US-Dollar |
Zusammenfassung: Die BNB Chain wird in den Quellen sowohl als stark genutzte Blockchain-Infrastruktur als auch als missbrauchte technische Grundlage der ClickFix-Kampagne beschrieben. Die genannten BNB-Kursdaten zeigten zuletzt nur eine geringfügige Reaktion auf die Sicherheitsmeldungen.
Warnung an Unternehmen und Privatnutzer
Die Sicherheitsexperten raten Unternehmen und Privatnutzern zu erhöhter Vorsicht bei ungewöhnlichen Aufforderungen auf Websites. Dies gilt insbesondere für CAPTCHA-Abfragen oder Aufforderungen zum Herunterladen von Dateien.
Nach Angaben von Börse Express erschwert die Integration blockchain-basierter Befehle die Entdeckung der zugrunde liegenden Infrastruktur durch klassische Sicherheitssoftware erheblich. Die Berichte machen zugleich deutlich, dass Nutzerinteraktionen eine zentrale Rolle beim Start der Infektion spielen können.
- Ungewöhnliche CAPTCHA-Abfragen besonders kritisch prüfen
- Keine unbekannten Befehle auf Websites manuell ausführen
- Bei Aufforderungen zum Herunterladen von Dateien vorsichtig sein
- Browser-Passwörter und Wallet-Daten als besonders gefährdete Informationen betrachten
Zusammenfassung: Die Quellen empfehlen erhöhte Aufmerksamkeit bei manipulierten Websites und ungewöhnlichen Nutzeraufforderungen. Als besonders riskant gelten gefälschte CAPTCHAs, manuell auszuführende Befehle und Dateidownloads.
Einschätzung der Redaktion
Die Bedeutung der Kampagne liegt weniger in der einzelnen Schadsoftware als in der Kombination aus Social Engineering, legitimen Systemwerkzeugen und schwer abschaltbarer Blockchain-Infrastruktur. Dadurch verschiebt sich die Verteidigung weg von der bloßen Blockierung bekannter Server hin zur Erkennung verdächtiger Abläufe und riskanter Nutzerinteraktionen.
Besonders kritisch ist, dass gefälschte CAPTCHA-Abfragen alltägliche Sicherheitsroutinen nachahmen und dadurch auch technisch versierte Nutzer täuschen können. Unternehmen sollten deshalb Anwendungskontrollen, Browser-Schutz und Verhaltensanalysen stärker verzahnen. Für Privatnutzer bleibt die wichtigste Schutzmaßnahme, niemals Website-Anweisungen zur manuellen Ausführung von Befehlen zu folgen.
Kernaussage: ClickFix verdeutlicht, dass moderne Angriffe nicht nur Sicherheitslücken, sondern vor allem Vertrauen und legitime Infrastruktur missbrauchen. Der Schutz muss deshalb technische Erkennung mit konsequenter Sensibilisierung der Nutzer verbinden.
Quellen:
