Die Entwicklung von ClickFix-Techniken
Die ClickFix-Technik hat sich seit ihrem Auftreten im Jahr 2024 zu einer der verbreitetsten Cyberangriffsmethoden entwickelt und umfasst mittlerweile eine breite Familie von Untervarianten wie FileFix, InstallFix und TerminalFix. Laut Daten von Push Security machten diese Angriffe bis August 2026 67 Prozent der gesamten Sicherheitserkennungen aus und übertrafen damit herkömmliche Phishing-Methoden wie AiTM.
Künstliche Intelligenz als Lockvogel
Angreifer nutzen derzeit die Begeisterung der Nutzer für generative KI-Tools (GenAI) aus, um ihre Angriffe zu starten. Diese Strategie basiert auf zwei Tatsachen: Erstens sind es Mitarbeiter gewohnt, Installationsbefehle direkt von Webseiten in die Befehlszeile (Terminal) zu kopieren, und zweitens verlassen sie sich zunehmend auf Suchmaschinen, um auf KI-Tools zuzugreifen, anstatt direkt deren offizielle Websites zu besuchen.
Innovative Angriffsmechanismen
- InstallFix: Angreifer erstellen gefälschte Installationsseiten, die beliebte Tools wie Claude Code imitieren. Beim Klicken auf die „Kopieren“-Schaltfläche wird der echte Code-Befehl durch einen bösartigen ersetzt, der ein Skript direkt im Arbeitsspeicher ausführt, ohne Dateien auf der Festplatte zu speichern, was die Erkennung erschwert.
- LLMshare: Die Ausnutzung von Freigabefunktionen auf Plattformen wie ChatGPT und Claude. Angreifer erstellen Konversationen oder „Artifacts“, die bösartige Links enthalten, was ihnen aufgrund der Hostung auf den Domains offizieller Plattformen eine hohe Vertrauenswürdigkeit verleiht.
- Custom GPTs: Die Verwendung maßgeschneiderter GPT-Modelle, die mit dem Nutzer interagieren, als wären sie ein technischer Support-Dienst, um ihn schließlich zu externen Seiten mit Schadnutzlasten zu leiten.
Warum herkömmliche Schutzmaßnahmen versagen
ClickFix-Angriffe umgehen Sicherheitssysteme aus mehreren wesentlichen Gründen:
- Umgehung von E-Mail-Gateways: Die meisten dieser Angriffe beginnen über Suchmaschinen oder irreführende Werbung und finden somit völlig abseits der E-Mail-Überprüfung statt.
- Nutzung legitimer Infrastrukturen: Angreifer stützen sich auf vertrauenswürdige oder kompromittierte Websites und verwenden Techniken wie EtherHiding, um Angriffsaspekte in Smart Contracts auf der Blockchain zu speichern, wodurch das Abschalten der Server unmöglich wird.
- Ausführung im Arbeitsspeicher: Da die Befehle in einer legitimen Befehlszeile ausgeführt werden, lösen sie keine Warnungen herkömmlicher Antivirensoftware aus, die nach bestimmten Mustern verdächtiger Prozesse sucht.
Was das für die Nutzer bedeutet
Diese Angriffe beweisen, dass herkömmliches Sicherheitsbewusstsein nicht mehr ausführt. Nutzer sind nicht länger sicher, nur weil sie sich auf einer vertrauenswürdigen Website befinden oder ein bekanntes KI-Tool verwenden. Das Verlassen auf das „Copy & Paste“ von Installationsbefehlen aus dem Web stellt eine kritische Sicherheitslücke dar, da Angreifer manipulieren können, was der Nutzer tatsächlich in die Zwischenablage (Clipboard) des Geräts kopiert, wodurch die Überprüfung von Befehlen vor deren Ausführung zu einer technischen Notwendigkeit höchster Priorität wird.