Vorsicht: Betrüger setzen auf gefälschte Sicherheitsüberprüfungen
Für viele Internetnutzer hat die Sicherheit höchste Priorität. Betrugsversuche, häufig in Form von Phishing-E-Mails, sind weit verbreitet. Diese Nachrichten fordern dazu auf, Links zu anklicken, die auf gefälschte Webseiten führen, wo sensible Informationen wie Zugangsdaten oder Kreditkarteninformationen eingegeben werden sollen. Doch eine neue Betrugsmasche geht einen perfiden Schritt weiter: Hierbei stehen nicht individuelle Daten im Fokus, sondern der direkte Zugriff auf die Computer der Nutzer.
Diese Methode bedient sich einer falschen Sicherheitsprüfung, die auf den ersten Blick vertrauenswürdig erscheint. Die Betrüger missbrauchen das Vertrauen der Nutzer in etablierte Sicherheitsdienste, indem sie auf manipulierten Webseiten eine täuschend echte Überprüfung von Cloudflare zeigen. Die Aufforderung lautet vereinfacht: „Beweisen Sie, dass Sie ein Mensch sind“. Um dies zu erreichen, benötigen die Betrüger oft nicht die vollständige Kontrolle über die Webseite; es genügt häufig, eigenen JavaScript-Code einzuschleusen, der eine zusätzliche Oberfläche über den eigentlichen Inhalt legt.
Funktionsweise des Betrugs
Im August 2026 dokumentierte Microsoft eine Angriffskampagne, die diesem Schema folgt und als ClickFix oder TerminalFix bekannt ist. Der Angriff wird automatisch aktiviert, sobald Nutzer den Anweisungen der vermeintlichen Cloudflare-Prüfung folgen. Diese Vorgehensweise ist besonders perfide, da die Nutzer unwissentlich einen Befehl im Windows Terminal eingeben und ausführen.
Das Windows Terminal fungiert hierbei als Benutzeroberfläche, während PowerShell als die Befehlsumgebung dient. Sobald Nutzer auf eine kompromittierte Webseite gelangen, zeigt ein eingeschleustes JavaScript die gefälschte Cloudflare-Prüfung an. Nach dem Klick auf „Bestätigen Sie, dass Sie ein Mensch sind“, wird ein vorbereiteter PowerShell-Befehl in die Zwischenablage kopiert. Die Anweisungen für die Nutzer lauten folgendermaßen:
- Windows-Taste + X drücken
- „I“ auswählen oder das Terminal öffnen
- Strg + V drücken
- Enter betätigen
Die Nutzer sehen den kopierten Inhalt zunächst nicht, sondern erst, wenn sie ihn im Windows-Terminal einfügen. Mit dem Klick auf Enter laden sie die Schadsoftware im Hintergrund herunter und unterstützen die Angreifer beim Starten der Malware. Eine legitime Cloudflare-Prüfung würde niemals das Windows Terminal oder PowerShell in Anspruch nehmen.
PowerShell als Werkzeug der Angreifer
PowerShell ist ein legitimes Windows-Tool, das Befehle ausführen, Dateien herunterladen und Programme starten kann. Häufig verwenden Angreifer PowerShell, um nach einem ersten Zugriff Schadcode nachzuladen oder auszuführen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt, dass solche Kommandozeileninterpreter häufig Teil von Angriffen sind.
Erkennung des Betrugsversuchs
Die Identifikation des Betrugsversuchs gestaltet sich als schwierig, da die Cloudflare-Technik an sich seriös ist. Cloudflare Turnstile dient normalerweise dazu, zwischen menschlichen Besuchern und automatisierten Zugriffen zu unterscheiden. Abhängig vom Risiko kann Turnstile eine Checkbox anzeigen oder die Prüfung sogar vollständig im Hintergrund durchführen. Fordert hingegen eine vermeintliche Cloudflare-Prüfung dazu auf, das Windows Terminal oder eine andere Eingabeaufforderung zu öffnen, um einen unbekannten Befehl einzugeben, sollten Nutzer sofort abbrechen.
Ein einfacher Grundsatz ist: Eine Webseite sollte niemals erklären müssen, welchen Windows-Befehl man ausführen soll, um zu beweisen, dass man ein Mensch ist. Bei Zweifeln sollte die Seite umgehend geschlossen werden.
Folgen eines unbedachten Klicks
Drücken die Nutzer auf Enter, ist es wichtig, die Situation ernst zu nehmen, auch wenn auf dem Bildschirm zunächst keine Reaktion erfolgt. In der von Microsoft untersuchten TerminalFix-Kampagne löst der eingefügte PowerShell-Befehl einen mehrstufigen Angriff aus. Dies umfasst unter anderem das Herunterladen eines Archivs aus dem Internet, das Entpacken von Dateien auf dem Computer und das Starten zusätzlicher Komponenten. Die Angreifer nutzen sogar legitime, signierte Windows-Dateien als Teil ihrer Angriffskette und platzieren manipulierte DLLs. Diese Technik wird als DLL-Sideloading bezeichnet.
Zusätzlich laden sie weitere Schadprogramme nach und verstecken Daten in vermeintlich harmlosen PNG-Bildern. Die Malware sucht gezielt Informationen im Netzwerk und kann einen sogenannten Reverse-Tunnel aufbauen, wodurch der betroffene Rechner als Zugangspunkt zum internen Netzwerk dient. Microsoft betont, dass betroffene Geräte als potenzielle Ausgangspunkte für weitere Angriffe betrachtet werden sollten.
Umfassende Überprüfung des Computers
Haben Nutzer den Befehl bereits ausgeführt, sollten sie den Computer zuerst vom Internet trennen. Es empfiehlt sich dann, den PC mit Microsoft Defender Offline überprüfen zu lassen. Dieser Scan erfolgt außerhalb des regulären Windows-Betriebs und kann auch Schadsoftware erkennen, die sich während des laufenden Systems versteckt. Danach sollte ein vollständiger Scan mit Microsoft Defender durchgeführt werden.
Falls das Programm Schadsoftware findet, kann es diese in der Regel unter Quarantäne stellen oder entfernen. Dies wird jedoch schwieriger, wenn die Schadsoftware bereits dauerhafte Startmechanismen eingerichtet hat. In den untersuchten Fällen legten die Angreifer beispielsweise Registry-Einträge und geplante Aufgaben für die erneute Ausführung an. Taucht die Schadsoftware nach der Bereinigung wieder auf oder kann der Defender sie nicht vollständig entfernen, ist eine Neuinstallation von Windows empfehlenswert.
Wichtige Schutzmaßnahmen
Die wichtigsten Schutzmaßnahmen sind einfach umzusetzen:
- Cloudflare-Prüfungen erfolgen im Browser. Nutzer müssen dafür keinen unbekannten Windows-Befehl ausführen.
- Führen Sie keine Befehle aus, die von einer fremden Webseite vorgegeben werden.
- Versuchen Sie nicht, die Prüfung zu umgehen. Verlassen Sie die Seite sofort.
- Schließen Sie den Tab und rufen Sie die gewünschte Internetseite eventuell über eine bekannte Adresse erneut auf.
Wenn Nutzer bereits auf Enter gedrückt haben, sollten sie nicht in Panik geraten, aber auch nicht davon ausgehen, dass nichts passiert. Der Rechner sollte vom Internet getrennt und gründlich überprüft werden.
Falls der Schadcode bereits ausgeführt wurde, ist zu erwarten, dass Kriminelle möglicherweise Zugangsdaten abgegriffen haben. Microsoft empfiehlt, die Zugangsdaten, die auf dem betroffenen Rechner gespeichert waren, von einem anderen, sauberen Gerät aus zu ändern.
Je schneller Nutzer reagieren, desto besser können sie verhindern, dass aus einem vermeintlich harmlosen Klick ein ernsthaftes Sicherheitsproblem entsteht.
Quellen: t-online, WDR
Dieser Text wurde mit Hilfe von künstlicher Intelligenz in Zusammenarbeit mit unserer Redaktion erstellt.
