ClickFix-Angriffe verbreiten sich, indem sie über gefälschte CAPTCHAs Windows- und macOS-Computer infizieren. Der unabhängige Forscher Kevin Beaumont erklärte auf Reddit, dass Nutzer ihre Computer auf diese Weise kompromittiert hätten; die Angreifer hätten legitime Websites so manipuliert, dass sie gefälschte CAPTCHAs anzeigen. Ständige CAPTCHAs, nicht schließbare Werbeanzeigen und sich verändernde Benutzeroberflächen führen dazu, dass Nutzer gegenüber verdächtigen Anweisungen unempfindlicher werden, was den Erfolg der Angriffe erhöht.
Der Angriff beginnt in der Regel mit einem CAPTCHA, das Cloudflare imitiert. Der Nutzer wird aufgefordert, den versteckten schädlichen Befehl zu kopieren, in Windows Run, PowerShell oder das macOS-Terminal einzufügen und die Eingabetaste zu drücken. Dass die Anweisungen von seit Jahren genutzten Websites stammen, erschwert es insbesondere Personen ohne Erfahrung in Computersicherheit, Verdacht zu schöpfen.
Laut BlueVoyant waren für die Verbreitung der zuvor unter dem Namen Lorem Ipsum verfolgten Schadsoftware über per SEO gelenkte und durch schädliche Werbung unterstützte Download-Portale, von Microsoft vertrauenswürdige Signaturzertifikate sowie ständig wechselnde Domains erforderlich. Die Rückkehr von ClickFix Ende Mai 2026 machte das Signieren des Codes überflüssig und erweiterte die Opfergruppe von Personen, die nach Microsoft Teams suchten, auf alle Besucher kompromittierter Websites.
Jamf und ein Forscher dokumentierten macOS-Versionen, die Gatekeeper umgehen können. Cisco Talos berichtete über die Nutzung von Google-Sheets-Dokumenten; Sandworm und Netskope meldeten den Einsatz blockchainbasierter Smart Contracts. Netskope stellte fest, dass 5.400 Websites Signale an diese Infrastruktur sendeten. BlockBlock und Ublock bieten Schutz, während Experten empfehlen, unerfahrene Nutzer zu sensibilisieren.
Warum das wichtig ist
Diese Entwicklung bedeutet, dass sich der Angriff von einer Kampagne gegen eine bestimmte Anwendung oder Nutzergruppe zu einer umfassenderen Bedrohung gewandelt hat, die Besucher kompromittierter Websites erreichen kann. Der Wegfall der Notwendigkeit von Signaturzertifikaten, denen Microsoft vertraut, beseitigt einige Kosten und Einschränkungen der bisherigen Verteilungskette. Das Auffinden von Beispielen, die unter Windows und macOS unterschiedliche Abwehrmechanismen umgehen können, zeigt, dass Sicherheitsgewohnheiten, die auf eine einzige Plattform zugeschnitten sind, nicht ausreichen werden. Die Nutzung von Kanälen wie Google Sheets und blockchainbasierten Smart Contracts zeigt zudem, dass auch das Vertrauen der Nutzer in ihnen bekannte Dienste eine Angriffsfläche darstellt. Daher wird es wichtig, dass Nutzer die Unstimmigkeit zwischen einer CAPTCHA-Anweisung und dem Ausführen von Betriebssystembefehlen erkennen, während die Frage offen bleibt, inwieweit unerfahrene Personen diese Unterscheidung innerhalb vertrauter Verifizierungsabläufe treffen können.
Hintergrund
Macs sind im FikirPilot-Archiv kein neuer Name: In den vergangenen 90 Tagen haben wir eine Nachricht veröffentlicht, in der dieser Name vorkam; der betreffende Artikel ist vom 26. August 2026.