DOUBLECUP-ClickFix-Dienst versteckt Malware im Browser-Cache

Der Dienst verwendet gefälschte CAPTCHA-Aufforderungen, um Opfer dazu zu bringen, in die Zwischenablage kopierte Befehle auszuführen. Diese Befehle stellen den versteckten Code wieder her und starten Malware auf Windows- und macOS-Geräten.

Die Threat Research Unit von SOCRadar berichtet, dass DOUBLECUP seit Anfang Juni 2026 aktiv ist. Die Betreiber verkaufen Lizenzen und stellen ein Go-basiertes Windows-Tool bereit, mit dem Kunden bösartige Kampagnen erstellen können.

DOUBLECUP stellt Kampagneninfrastruktur bereit

DOUBLECUP funktioniert als Loader-as-a-Service-Plattform. Der Dienst übernimmt einen Großteil der Infrastruktur, die Angreifer für ClickFix-Angriffe benötigen.

Er hostet PNG-Dateien mit steganografisch verstecktem Code, verwaltet Sitzungs- und Signal-Endpunkte, liefert Verschlüsselungsschlüssel und erstellt Payloads automatisch neu.

Die Kunden müssen die Webseiten mit den gefälschten ClickFix-Aufforderungen selbst erstellen und hosten. Außerdem fügen sie den generierten Frontend-Code hinzu und können eigene Methoden zur Verschleierung oder zur Umgehung von Analysen einsetzen.

SOCRadar entdeckte DOUBLECUP bei der Untersuchung eines offenen Verzeichnisses auf einem Server, das Testdateien enthielt. Später identifizierten die Forscher dieselbe IP-Adresse als Host des Lizenzportals des Dienstes.

Mit dem Go-basierten Tool können Kunden Kampagnendomänen, URL-Pfade, Speicherorte der Payloads, Ausführungsaktionen und Methoden zum Verstecken von Bildern konfigurieren. Anschließend erzeugt das Tool Code für Chrome, Edge, Firefox, Brave und Opera.

Gefälschte CAPTCHA-Seiten speichern schädliche Bilder im Browser-Cache

DOUBLECUP-ClickFix-Kampagnen verwenden gefälschte CAPTCHA-Aufforderungen auf Anmeldeseiten, die sich als Dienste wie NetSuite, Odoo, HubSpot und Salesforce ausgeben.

Der schädliche Code wird über eingebettete iFrames geladen. Sobald ein Besucher die Seite öffnet, registriert die Website eine Sitzung, überprüft die öffentliche IP-Adresse des Besuchers und lädt ein bösartiges PNG-Bild in den Browser-Cache herunter.

Anschließend zeigt die Seite Anweisungen an, die den Besucher dazu verleiten sollen, einen Befehl einzufügen und auszuführen.

Dieser Befehl durchsucht den Browser-Cache nach einer PNG-Datei mit einer bestimmten Größe. Anschließend werden findstr oder certutil verwendet, um die im Bild versteckte Payload der ersten Stufe wiederherzustellen und auszuführen.

Die erste Stufe startet einen dateilosen Dropper. Dieser ermittelt die öffentliche IPv4-Adresse des Opfers und verwendet sie zur Erstellung eines Entschlüsselungsschlüssels für die endgültige verschlüsselte Payload.

Nachdem die entschlüsselte Datei mit einem fest codierten SHA-256-Hash verglichen wurde, führt der Dropper sie direkt im Arbeitsspeicher aus.

CountLoader und DeviceManager RAT werden ausgeliefert

SOCRadar identifizierte zwei Malware-Familien, die über DOUBLECUP verbreitet werden: eine aktualisierte Version von CountLoader sowie einen bislang nicht dokumentierten Windows-Remote-Access-Trojaner namens DeviceManager.

CountLoader greift Windows- und macOS-Geräte an. Die Malware sammelt Informationen über infizierte Systeme, sucht nach Krypto-Wallets und Browser-Erweiterungen und prüft, ob Signal Desktop installiert ist.

Sie kann Persistenz über geplante Aufgaben herstellen. Außerdem kann sie Dateien herunterladen und ausführen, darunter MSI-Pakete, PowerShell-Module und DLL-Dateien.

Die macOS-Version unterstützt sowohl Intel- als auch Apple-Silicon-Systeme. Sie erstellt einen LaunchAgent zur Persistenz und nutzt integrierte Systemwerkzeuge zur Kommunikation mit Servern der Angreifer.

DeviceManager ist ein modularer, Python-basierter Remote-Access-Trojaner für Windows. Er verwendet EtherHiding, um die Adresse seines Command-and-Control-Servers aus einem Smart Contract auf Ethereum oder Polygon zu beziehen.

Außerhalb der Staaten der Gemeinschaft Unabhängiger Staaten sammelt der Trojaner umfangreiche Systeminformationen. Außerdem kann er DNS-A- und TXT-Einträge nutzen, um gestohlene Daten zu übertragen, Befehle abzurufen, Payloads herunterzuladen und die Ergebnisse ausgeführter Befehle zurückzusenden.

Der DOUBLECUP-ClickFix-Dienst zeigt, wie Angreifer ihre Social-Engineering-Angriffe kontinuierlich weiterentwickeln. Nutzer sollten niemals Befehle in ein Terminal oder in das Dialogfeld Ausführen einfügen, nur weil eine Website sie dazu auffordert.