ClickFix-Malware: Microsoft warnt vor Blockchain-gestütztem Angriff
Veröffentlicht am: 07.08.2026 um 15:31 Uhr | Redaktion boerse-global.de
Microsoft Threat Intelligence hat eine weitreichende Cyber-Angriffswelle unter dem Namen ClickFix identifiziert. Dabei nutzen die Akteure die Infrastruktur der BNB Smart Chain (BNB Chain), um Befehle für Schadsoftware zu hosten und herkömmliche Sicherheitskontrollen zu umgehen. Laut den Sicherheitsforschern sind weltweit täglich tausende Geräte von dieser Kampagne betroffen, die gezielt Nutzer von Windows- und macOS-Betriebssystemen ins Visier nimmt.
Blockchain-Infrastruktur als resilienter Befehlshaber
Die Angreifer setzen bei ihrer Strategie auf eine Kombination aus Web-Kompromittierung und Blockchain-Technologie. Zunächst werden legitime Websites infiltriert, um dort manipulierten Programmcode in Form von Base64-JavaScript zu injizieren. Dieser Code kommuniziert über ein RPC-Gateway mit einem Smart Contract auf der BNB Smart Chain, um die nächsten Schritte des Angriffs abzurufen.
Durch den Einsatz der Blockchain-Infrastruktur wird die Architektur der Malware deutlich widerstandsfähiger gegen Versuche von Sicherheitsbehörden oder Providern, die Steuerungs-Server (Command-and-Control) abzuschalten. Die Opfer werden auf den manipulierten Seiten durch gefälschte CAPTCHA-Abfragen dazu verleitet, manuell Befehle auszuführen, was den Infektionsprozess auf den Endgeräten einleitet.
Spezifische Bedrohungen für Windows und macOS
Auf Windows-Systemen dient die ClickFix-Kampagne zur Verbreitung einer Vielzahl von Schadprogrammen. Dazu gehören nach Angaben von Microsoft Threat Intelligence unter anderem der Lumma Stealer, XWorm, AsyncRAT und der MintsLoader. Diese Programme sind darauf ausgelegt, sensible Daten zu extrahieren oder Fernzugriff auf die infizierten Systeme zu ermöglichen.
Wer sich gegen solche raffinierten Infostealer absichern möchte, findet in diesem kostenlosen Experten-Report eine effektive Strategie, um das eigene System zur Festung gegen Hacker zu machen. Kostenloses Anti-Virus-Paket jetzt herunterladen
Parallel dazu wurde eine spezielle Variante für macOS-Nutzer beobachtet. Diese nutzt mehr als 250 algorithmisch generierte Domains und setzt ein serverseitiges Auswahlverfahren ein, um die Schadsoftware gezielt nur echten macOS-Anwendern anzuzeigen. In diesem Zweig der Kampagne kommen Programme wie MacSync und der Atomic Stealer (AMOS) zum Einsatz.
Analysen des IT-Sicherheitsunternehmens Huntress ergaben, dass es sich bei der macOS-Schadsoftware um einen in der Programmiersprache Go geschriebenen Stealer handelt. Dieser ist in der Lage, Passwörter aus Browsern und Daten aus dem Apple-Schlüsselbund zu entwenden. Zudem kann die Software Kryptowährungs-Transaktionen umleiten oder Wallets vollständig leeren. Betroffen sind digitale Vermögenswerte wie Bitcoin, Ethereum, Litecoin, Dogecoin, Monero und XRP. Die Infrastruktur für diese macOS-Angriffe wird laut Huntress über die Aeza Group abgewickelt, einen sanktionierten russischen Hosting-Anbieter.
Angesichts der Gefahr für im Browser gespeicherte Passwörter durch moderne Stealer-Software empfehlen Experten eine sicherere Verwaltung Ihrer digitalen Zugänge. Dieser gratis Guide zeigt Ihnen Schritt für Schritt, wie Sie Ihre Passwörter verschlüsselt und außerhalb der Reichweite von Browser-Malware sichern. Kostenlose Anleitung zur sicheren Passwort-Verwaltung sichern
Umgehung von Sicherheitsmechanismen
Zusätzlich zu den Blockchain-basierten Methoden nutzen die Angreifer raffinierte Techniken, um Entdeckungssysteme zu täuschen. Experten von Unit 42 entdeckten eine ClickFix-Variante, die legitime Systemdateien wie pcalua.exe sowie den WebDAV-Standard missbraucht.
In dieser Angriffskette startet das System zunächst pcalua.exe, gefolgt von PowerShell-Befehlen. Über die Windows-Verwaltungsinstrumentierung (WMI) wird cmd.exe aufgerufen, um ein WebDAV-Verzeichnis über eine verschlüsselte HTTPS-Verbindung einzubinden. Schließlich wird eine bösartige DLL-Datei mittels rundll32 geladen. Dieser mehrstufige Prozess zielt darauf ab, verhaltensbasierte Sicherheitsanalysen zu umgehen und die Installation der Infostealer-Software unbemerkt abzuschließen.
