Ein altes Netzwerkverfahren tauchte erneut als moderner Angriffsweg in einer aktuellen Malware-Kampagne auf. Sicherheitsforscher ordneten neue Aktivitäten den ClickFix-Akteuren zu, die das Finger-Protokoll für die Befehlsübertragung wiederbelebten. Dieser Missbrauch des Finger-Protokolls zeigt, wie veraltete Werkzeuge für Bedrohungsakteure zu strategischen Ressourcen werden können.
Wie die Angreifer das Finger-Protokoll nutzten
Das Finger-Protokoll wurde in den 1970er-Jahren für Benutzerabfragen entwickelt. Es nutzte TCP-Port 79 und arbeitete mit einfachen Textantworten. Angreifer verwandeln diesen Ablauf nun in ein verdecktes Übertragungssystem.
Während der ClickFix-Kampagne setzten die Akteure Batch-Dateien ein, die den finger-Befehl gegen externe Server ausführten. Die Antworten wurden direkt an die Windows-Eingabeaufforderung weitergeleitet. Diese Technik bot ihnen einen flexiblen und schwer erkennbaren Kanal für neue Anweisungen.
Die heruntergeladenen Befehle lösten weitere Aktionen aus. Eine Variante lud eine ZIP-Datei herunter, die als PDF getarnt war. Im Archiv fanden Analysten einen Python-basierten Infostealer und eine zweite Nutzlast, die als Fernzugriffs-Werkzeug fungierte. Die Malware entpackte diese Komponenten, richtete Persistenz über geplante Aufgaben ein und bereitete das System für längere Kontrolle vor.
Diese Methode ersetzte vorhersehbare Kanäle wie PowerShell-Downloads oder HTTP-basierte Übertragungen. Der Legacy-Traffic fiel kaum auf, da Verteidiger Port-79-Verbindungen selten überwachen.
Warum der Missbrauch des Finger-Protokolls so effektiv ist
Das Protokoll existiert auf vielen Systemen weiterhin aufgrund alter Software-Stacks oder falsch konfigurierter Firewalls. Angreifer nutzen diese Nachlässigkeit aus. Der Missbrauch des Finger-Protokolls hilft ihnen, Erkennungsschichten zu umgehen, die sich fast ausschließlich auf moderne Protokolle konzentrieren.
Die ClickFix-Technik baut zudem auf Benutzeraktionen. Opfer führen häufig Befehle aus, die sie aus vermeintlich legitimen Hinweisen kopieren. Damit umgehen sie viele automatisierte Sicherheitskontrollen. Sicherheitslösungen schlagen oft nicht an, weil die Batch-Dateien ausschließlich eingebaute Windows-Befehle verwenden.
Die Kombination aus alten Netzwerkpfaden und benutzergesteuerter Ausführung erhöht die Erfolgsquote. Angreifer nutzen diese Lücken, um Infostealer auszuführen, Fernzugriff einzurichten und langfristige Präsenz zu sichern.
Wie Organisationen sich gegen diese Angriffe schützen können
Unternehmen sollten den Datenverkehr über TCP-Port 79 blockieren, sofern kein geschäftlicher Bedarf besteht. Die meisten Organisationen nutzen das Finger-Protokoll für keinen legitimen Prozess.
Die Überwachung des finger-Befehls auf Endpunkten ist entscheidend, da dieser Befehl in modernen IT-Umgebungen kaum vorkommt.
Benutzer müssen geschult werden, keine kopierten Befehle auszuführen. Viele ClickFix-Angriffe beginnen, wenn ein Nutzer dazu verleitet wird, ein vermeintliches „Fix-Skript“ auszuführen.
Endpoint-Detection-Tools sollten Aktivitäten wie Datei-Downloads, das Entpacken von Archiven oder das Erstellen geplanter Aufgaben genau beobachten. Diese Signale sind klare Hinweise auf eine mögliche Kompromittierung.
Fazit
Der Missbrauch des Finger-Protokolls in ClickFix-Malware-Angriffen zeigt, dass übersehene Technologien weiterhin ernsthafte Risiken darstellen. Angreifer gewinnen Tarnung, Flexibilität und Kontrolle, indem sie alte Protokolle mit moderner Social-Engineering-Taktik kombinieren. Unternehmen müssen ungenutzte Dienste absichern, ungewöhnliche Befehlsaktivitäten überwachen und konsequente Benutzeraufklärung betreiben. Zielgerichtete Schutzmaßnahmen und starke Kontrolle minimieren die Gefahr, die von veralteten, aber gefährlichen Netzwerkfeatures ausgeht.
0 Kommentare zu „Missbrauch des Finger-Protokolls treibt neue ClickFix-Malware-Angriffe an“