ClickFix: Neue Bedrohung durch Cyberangriffe auf die Ukraine
In der heutigen digitalen Welt ist die Sicherheit unserer Geräte wichtiger denn je. Vor allem die Ukraine sieht sich in letzter Zeit einer verstärkten Bedrohung durch Cyberangriffe gegenüber. Die nationale Cybersecurity-Behörde der Ukraine, CERT-UA, hat kürzlich über die Aktivitäten der Hackergruppe Sandworm berichtet, die mit dem russischen Militärgeheimdienst GRU in Verbindung steht. Diese Gruppe ist bekannt für ihre zerstörerischen Cyberangriffe und hat nun eine neue Methode entwickelt, um ukrainische Ziele zu kompromittieren. Was genau hat es mit dieser neuen Technik auf sich? Nun, sie nennt sich ClickFix, und sie kann potenziell katastrophale Folgen haben.
ClickFix ist eine raffinierte Angriffsstrategie, die die Benutzer in die Falle lockt, indem sie sie dazu bringt, schädliche Befehle auszuführen. Anstatt auf herkömmliche Methoden wie Exploits oder bösartige E-Mail-Anhänge zurückzugreifen, setzt Sandworm auf soziale Ingenieurtechniken. Dabei wird ein gefälschtes CAPTCHA angezeigt, das die Benutzer dazu auffordert, einen Text zu kopieren und in ihr Terminal einzufügen. Was viele nicht wissen: Dieser Text enthält Skripte, die hinterhältige Aktionen auslösen, wie beispielsweise die Installation von Malware oder die Exfiltration sensibler Daten. Eine besonders perfide Methode, die auch für weniger technikaffine Nutzer schwer zu erkennen ist.
Die Gefahren von ClickFix
Die Behörden haben bereits mehr als zehn kompromittierte ukrainische Websites identifiziert, die als Verbreitungspunkte für Malware dienten. Über 500% Anstieg an ClickFix-Angriffen im ersten Halbjahr 2025 sind alarmierend. Diese Angriffe machen mittlerweile fast 8% aller blockierten Cyberangriffe aus! Die Hacker verwenden ein maßgeschneidertes Tool namens SMARTAXE, das es ihnen ermöglicht, die Adresse ihrer Command-and-Control-Server (C2) über einen Ethereum-Smart-Contract abzurufen. Diese Technik, EtherHiding genannt, macht es den Verteidigern nahezu unmöglich, die Infrastruktur der Angreifer zu neutralisieren.
Interessanterweise hat Sandworm seine Taktiken im Laufe der Jahre erheblich verändert. Früher verbreiteten sie trojanisierte Software über Torrent-Seiten, jetzt setzen sie auf soziale Manipulation, um die Benutzer dazu zu bringen, selbst die schädlichen Aktionen auszuführen. Eine von Sandworm verwendete Malware, GHETTOVIBE, ist ein Visual Basic-Skript, das auf den infizierten Geräten persistent bleibt. Und das ist noch nicht alles – das PowerShell-Skript SCOUTCURL sammelt wichtige Systeminformationen und schickt sie direkt an die Angreifer zurück. So behalten diese den Überblick über die kompromittierten Systeme.
Der Weg zur Bekämpfung
Um diesen Bedrohungen entgegenzuwirken, empfiehlt CERT-UA regelmäßige Website-Audits, die Rotation von Anmeldeinformationen, die Implementierung von Multi-Faktor-Authentifizierung und die Überwachung auf anomale Verkehrsströme. Nutzer sollten besonders vorsichtig sein, wenn ihnen eine Website auffordert, irgendwelche Befehle in einem Systemdienst auszuführen, um ihre Identität zu bestätigen. Das klingt zunächst harmlos, kann aber fatale Folgen haben. Immerhin wird die ClickFix-Technik auch von anderen Bedrohungsakteuren genutzt, darunter staatlich unterstützte Gruppen aus Russland, Nordkorea und Iran.
Die Welt der Cyberkriminalität entwickelt sich ständig weiter. ClickFix hat sich als eine der bevorzugten Methoden für den ersten Zugriff etabliert, da sie es ermöglicht, traditionelle Sicherheitskontrollen zu umgehen. Die Manipulation der Zwischenablage durch JavaScript oder die Verwendung vertrauenswürdiger Windows-Dienstprogramme zur Ausführung schädlicher Payloads sind nur einige der technischen Kniffe, die diese Angreifer nutzen. Es bleibt abzuwarten, wie sich die Cyberlandschaft weiter entwickeln wird und ob die Sicherheitsmaßnahmen Schritt halten können.
Die Bedrohung ist real und zeigt, wie wichtig es ist, sich über aktuelle Cybergefahren zu informieren und entsprechend zu handeln. Bleiben Sie wachsam und schützen Sie Ihre digitalen Geräte!
Für weitere Informationen über die Hintergründe dieser Angriffe und die Techniken, die von Sandworm und anderen Gruppen verwendet werden, besuchen Sie die Berichte von Tech Times, Ars Technica und Cybersecurity News.