ClickFix-Angriff nutzt gefälschte Windows-BSOD-Bildschirme zur Verbreitung von Malware

Eine neue ClickFix-Malwarekampagne nutzt gefälschte Windows-Blue-Screen-of-Death-Bildschirme (BSOD), um Nutzer dazu zu bringen, ihre eigenen Systeme zu infizieren. Angreifer zeigen überzeugende Absturzmeldungen an und führen die Opfer anschließend durch vermeintliche „Fix“-Schritte, die heimlich Malware installieren.

Die Technik beruht auf Social Engineering statt auf technischen Schwachstellen und kann dadurch viele herkömmliche Sicherheitskontrollen umgehen.

Wie der ClickFix-Angriff funktioniert

Der Angriff beginnt, wenn ein Nutzer auf eine bösartige Webseite gelangt, häufig über Phishing-E-Mails oder kompromittierte Websites. Anstelle normaler Webinhalte zeigt die Seite einen gefälschten BSOD an, der einem echten Windows-Absturz täuschend ähnlich sieht.

Der Bildschirm behauptet, das System habe einen kritischen Fehler festgestellt und müsse sofort repariert werden. Anschließend wird der Nutzer angewiesen, Befehle in PowerShell oder der Eingabeaufforderung zu kopieren und einzufügen, um das Problem zu beheben.

Sobald der Nutzer diese Befehle ausführt, lädt das System Malware direkt von von Angreifern kontrollierten Servern herunter und führt sie aus.

Warum die Technik so effektiv ist

ClickFix ist erfolgreich, weil die Verantwortung für die Ausführung auf das Opfer verlagert wird. Da der Nutzer die Befehle manuell ausführt, stufen viele Sicherheitswerkzeuge die Aktivität als legitim ein.

Der gefälschte BSOD erzeugt zudem Zeitdruck und Panik. Nutzer versuchen häufig, das Problem schnell zu „beheben“, ohne zu hinterfragen, warum ein Systemfehler innerhalb eines Webbrowsers erscheint.

Diese Kombination aus Angst und Vertrautheit macht den Angriff besonders effektiv gegen weniger technisch versierte Nutzer.

Malware-Verteilung und Auswirkungen

Nach der Ausführung laden die Befehle weitere Schadprogramme nach, darunter Informationsdiebe, Remote-Access-Tools oder Loader für zusätzliche Malware-Stufen.

Da die Infektion über legitime Systemwerkzeuge erfolgt, können Angreifer Persistenz etablieren und der Erkennung lange genug entgehen, um Zugangsdaten zu stehlen, Aktivitäten zu überwachen oder sich lateral im Netzwerk zu bewegen.

Der Angriff nutzt keine Sicherheitslücken aus, weshalb herkömmliche Patch-Maßnahmen gegen diese Technik wirkungslos sind.

Wie Nutzer sich schützen können

Nutzer sollten jede Systemfehlermeldung, die in einem Webbrowser erscheint, als verdächtig betrachten. Echte Windows-Absturzbildschirme werden niemals innerhalb von Webseiten angezeigt.

Sicherheitsteams sollten zudem unnötige PowerShell-Nutzung einschränken, Nutzer im Erkennen von Social-Engineering-Techniken schulen und den Zugriff auf bekannte bösartige Domains blockieren.

Vor allem sollten Nutzer niemals Befehle ausführen, die sie aus Webseiten, E-Mails oder Pop-up-Fenstern kopiert haben, ohne diese ausdrücklich zu verifizieren.

Fazit

Der ClickFix-Angriff zeigt, wie wirkungsvoll Social Engineering in modernen Malwarekampagnen weiterhin ist. Indem Angreifer vertrauenswürdige Windows-Absturzbildschirme imitieren und Nutzer dazu bringen, selbst Befehle auszuführen, umgehen sie technische Schutzmaßnahmen und verlassen sich stattdessen auf menschliche Fehler. Aufmerksamkeit und vorsichtiges Verhalten bleiben die wirksamsten Verteidigungsmaßnahmen gegen diese wachsende Bedrohung.