Neue Cyberangriffe: ClickFix-Technik von Nordkorea, Iran und Russland eingesetzt

MÜNCHEN (IT BOLTWISE) – In der Welt der Cyberkriminalität sind staatlich unterstützte Hackergruppen aus Nordkorea, Iran und Russland bekannt für ihre raffinierten Angriffe. Jüngste Berichte zeigen, dass diese Gruppen nun die ClickFix-Technik in ihren Spionagekampagnen einsetzen, um ihre Ziele zu erreichen.

Die ClickFix-Technik, eine gefährliche Methode des Social Engineering, hat sich als neues Werkzeug in den Händen von staatlich unterstützten Hackergruppen etabliert. Diese Technik nutzt das Vertrauen der Nutzer aus, indem sie gefälschte Fehlermeldungen oder Sicherheitswarnungen von Betriebssystemen oder bekannten Anwendungen präsentiert. Nutzer werden dazu verleitet, Code in die Befehlszeilenschnittstelle ihres Computers einzugeben, in der Annahme, dass dies eine Lösung für ein Problem darstellt. Tatsächlich jedoch führt dieser Code schädliche Befehle auf dem Rechner des Opfers aus.

Im vergangenen Jahr wurde die zunehmende Beliebtheit der ClickFix-Angriffe unter Cyberkriminellen beobachtet. Gruppen wie TA571 und ClearFake begannen im März 2024 mit der Nutzung dieser Technik. Im Oktober 2024 verzeichnete Sekoia einen Anstieg von ClickFix-Angriffen, bei denen gefälschte Google Meet-, Chrome- und Facebook-Seiten verwendet wurden, um Nutzer zur Installation von Malware zu verleiten.

Die jüngste Welle von ClickFix-Angriffen wurde zwischen Juli 2024 und Anfang 2025 beobachtet. Hackergruppen aus Nordkorea, Iran und Russland integrierten ClickFix in ihre üblichen Operationen. Nordkoreas TA427, auch bekannt als Kimsuky oder Emerald Sleet, zielte Anfang 2025 auf Personen aus fünf Organisationen im Think-Tank-Sektor ab, die sich mit nordkoreanischen Angelegenheiten befassen. Sie nutzten täuschende Meeting-Anfragen und gefälschte Websites, um die Opfer zur Ausführung von PowerShell-Befehlen zu bewegen. Ein erfolgreicher Angriff beinhaltete die Imitation eines japanischen Diplomaten und führte zur Installation der QuasarRAT-Malware.

Im November 2024 richtete sich die iranische Gruppe TA450, auch bekannt als MuddyWater oder Mango Sandstorm, gegen 39 Organisationen, hauptsächlich aus den Finanz- und Regierungssektoren im Nahen Osten. Sie verwendeten gefälschte Microsoft-Sicherheitsupdate-E-Mails, um Nutzer zur Ausführung von PowerShell-Befehlen zu bewegen, die das Level RMM-Tool installierten, das für Spionage und Datendiebstahl genutzt werden sollte. Danach wurde keine weitere Nutzung von ClickFix durch diese Gruppe beobachtet.

Die russische Gruppe UNK_RemoteRogue setzte ClickFix im Dezember 2024 ein, indem sie Personen in zwei prominenten Rüstungsunternehmen der Verteidigungsindustrie anvisierte. Sie verschickten E-Mails mit einem Link zu einer gefälschten Microsoft Office-Seite mit russischen Anweisungen, um Code zu kopieren und einzufügen, der JavaScript und dann PowerShell ausführte, das mit dem Empire-Framework verbunden war. TA422, auch bekannt als Sofacy oder APT28, nutzte ClickFix im Oktober 2024, um ukrainische Einrichtungen anzugreifen. Sie verschickten Phishing-E-Mails mit einem Link, der ein Google-Spreadsheet imitierte und von CERT-UA versendet wurde. Dieser führte zu einem reCAPTCHA, das beim Anklicken einen PowerShell-Befehl bereitstellte, um einen SSH-Tunnel zu erstellen und Metasploit auszuführen.

Obwohl diese Gruppen ihre Angriffsmethoden nicht vollständig ändern, ersetzen sie bestimmte Schritte in der Art und Weise, wie sie ein Zielsystem infizieren und schädliche Software ausführen. Laut einem Blogbeitrag von Proofpoint wurde keine Nutzung von ClickFix durch chinesische, staatlich unterstützte Gruppen beobachtet, möglicherweise aufgrund eingeschränkter Sichtbarkeit ihrer Aktivitäten. Trotz der Tatsache, dass ClickFix noch kein Standardwerkzeug für staatlich unterstützte Akteure ist, deutet seine zunehmende Beliebtheit darauf hin, dass diese Technik in den kommenden Monaten häufiger in staatlich unterstützten Cyber-Spionagekampagnen eingesetzt werden könnte.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!