Entwickler-Platzhalterdomain hostet ClickFix-Angriffsseite

Ein ClickFix-Angriff erscheint auf third-party.com, einer Domain, die in vielen Entwicklerleitfäden als Platzhalter verwendet wird. Die Website zeigt Windows-Nutzern eine gefälschte Sicherheitsüberprüfung und versucht, sie dazu zu bringen, einen PowerShell-Befehl auszuführen.

Gefälschte Verifizierungsseite zielt auf Windows-Nutzer ab

Das Sicherheitsunternehmen Manifold entdeckte die Seite bei der Überprüfung öffentlicher KI-Skills und Entwicklerdokumentationen. BleepingComputer bestätigte später, dass sie einen Cloudflare-Verifizierungsbildschirm imitiert.

Wenn ein Besucher auf das Verifizierungsfeld klickt, kopiert die Seite einen Befehl in die Windows-Zwischenablage. Anschließend fordert sie den Besucher auf, diesen Befehl einzufügen und auszuführen. Wird der Befehl ausgeführt, versucht er, ein PowerShell-Skript herunterzuladen und zu starten.

Bei Besuchern, die macOS oder Linux verwenden, verhält sich die Seite anders. Laut Manifold sehen diese Besucher anstelle der schädlichen Anweisungen eine Meldung, dass ihr Betriebssystem nicht unterstützt wird.

Während der Tests von BleepingComputer ließ sich die Download-Domain des Skripts nicht mehr auflösen. Daher wurde die Angriffskette nicht abgeschlossen. Eine frühere Analyse brachte die Domain mit einem großen ZIP-Download in Verbindung, doch die Forscher konnten nicht feststellen, was die endgültige Payload bewirkte.

Verweise in Dokumentationen schaffen ein Risiko

Entwickler verwenden third-party.com seit Jahren in Beispielen. Die Domain erscheint in Dokumentationen und Codebeispielen als Platzhalter für eine externe Website oder einen externen Dienst.

Allerdings kann jeder diese Domain registrieren und kontrollieren. Das unterscheidet sie von Domains wie example.com, die für Dokumentationszwecke reserviert sind.

Dadurch kann jemand, der einem kopierten Beispiel folgt oder die Platzhalteradresse öffnet, auf der aktiven ClickFix-Angriffsseite landen. Die Verweise in Entwicklerdokumentationen bedeuten nicht, dass diese Projekte kompromittiert wurden.

Forscher haben nicht bestätigt, dass ein Entwickler den schädlichen Befehl ausgeführt hat, nachdem er einem solchen Verweis gefolgt war. Sie konnten auch nicht feststellen, wann oder wie sich die Kontrolle über die Domain geändert hat. Die Domain existiert seit 1996, und es gibt keine Hinweise darauf, dass ihre ursprüngliche Registrierung einem schädlichen Zweck diente.