Sicherheitsforscher haben einen ClickFix-DNS-Angriff entdeckt, der Schadsoftware mithilfe eines normalen Windows-Diagnosebefehls ausliefert. Anstatt eine Datei herunterzuladen, rufen die Opfer unbemerkt schädlichen Code direkt über DNS-Anfragen ab. Die Methode versteckt die Nutzlast im gewöhnlichen Netzwerkverkehr und verringert die Wahrscheinlichkeit einer Entdeckung.
Nutzer werden zum Ausführen von Befehlen verleitet
Die Kampagne basiert auf Social Engineering statt auf Software-Schwachstellen. Die Opfer erhalten Anweisungen, angeblich um einen Fehler zu beheben oder einen Dienst zu aktivieren. Die Anleitung fordert sie auf, den Ausführen-Dialog in Windows zu öffnen und einen nslookup-Befehl auszuführen.
Der Befehl verbindet sich mit einem von Angreifern kontrollierten DNS-Server statt mit einem legitimen Resolver. Anstelle normaler Domaininformationen enthält die Antwort kodierte Anweisungen. Anschließend startet das System ein PowerShell-Skript, ohne dass der Nutzer den eigentlichen Zweck erkennt.
Malware wird über DNS-Antworten geliefert
Die Angreifer betten die nächste Stufe der Nutzlast in DNS-Antwortfelder ein. Da DNS-Verkehr normal wirkt, behandeln Sicherheitslösungen ihn oft als harmlose Hintergrundaktivität. So erreichen die schädlichen Anweisungen das Gerät ohne sichtbaren Download.
Nach der Ausführung lädt das Skript weitere Komponenten nach und bereitet das System auf eine langfristige Kompromittierung vor. Es sammelt Systeminformationen und stellt eine Verbindung zur Infrastruktur der Angreifer her.
Fernzugriff wird eingerichtet
Die finale Nutzlast installiert einen Remote-Access-Trojaner, der den Angreifern Kontrolle über den Computer verschafft. Persistenzmechanismen sorgen dafür, dass die Malware bei jedem Windows-Start automatisch ausgeführt wird.
Durch die Nutzung von DNS als Lieferkanal können Angreifer die Nutzlast jederzeit ändern. Sie müssen lediglich die Serverantwort aktualisieren, ohne den angezeigten Befehl anzupassen.
Warum die Methode funktioniert
Traditionelle Sicherheitsmaßnahmen konzentrieren sich häufig auf Downloads oder verdächtige Webseiten. Dieser Angriff nutzt stattdessen ein vertrauenswürdiges Systemwerkzeug und gewöhnlichen Netzwerkverkehr. Da der Nutzer den Befehl selbst ausführt, wirkt das Verhalten legitim.
Die Methode zeigt, wie Angreifer zunehmend Benutzerinteraktion mit verdeckter Auslieferung kombinieren, anstatt Schwachstellen auszunutzen.
Schutzempfehlungen
Nutzer sollten keine Befehle aus unbekannten Quellen ausführen, selbst wenn sie technisch klingen. Organisationen sollten ungewöhnliche DNS-Anfragen überwachen und die Skriptausführung einschränken, wo möglich.
Schulungen zum Erkennen von Social Engineering bleiben eine der effektivsten Abwehrmaßnahmen.
Fazit
Der ClickFix-DNS-Angriff verdeutlicht den Trend zu unauffälligeren Methoden der Malware-Verbreitung. Durch das Verstecken einer PowerShell-Nutzlast in DNS-Antworten umgehen Angreifer viele klassische Schutzmechanismen. Vorsichtiges Nutzerverhalten und Netzwerküberwachung sind entscheidend, um Kompromittierungen zu verhindern.
0 Kommentare zu „ClickFix DNS-Angriff liefert Malware über nslookup“