Auf den Punkt: Eine ClickFix-Kampagne mit über 250 Domains setzt jetzt Browser-Fingerprinting ein, um Sicherheitsforscher auszusperren und ausschließlich echten macOS-Nutzern eine gefälschte Malware-Lure anzuzeigen.
Microsoft Threat Intelligence hat eine ClickFix-Operation mit mehr als 250 Frontend-Domains identifiziert, die Besucher vor der Auslieferung des Malware-Lures per Fingerprinting prüft. Die serverseitige Filterung erschwert die Erkennung durch Sicherheitsforscher und automatisierte Analyse-Systeme erheblich.
Microsoft Threat Intelligence beobachtet die zugrunde liegende Infrastruktur bereits seit mehreren Wochen und hat nun eine Weiterentwicklung der Kampagne dokumentiert: Über 250 Domains fungieren als Front-End für eine ClickFix-Operation, die gezielt macOS-Nutzer ins Visier nimmt. Neu ist ein serverseitiges Gate, das eingehende Anfragen per Browser-Fingerprinting analysiert, bevor entschieden wird, ob dem Besucher die schädliche Seite überhaupt angezeigt wird.
Das Fingerprinting dient dazu, Crawler, Sandboxes und automatisierte Analyseumgebungen von echten potenziellen Opfern zu unterscheiden. Erkennt das Gate Merkmale eines Sicherheitssystems oder eines Bots, bleibt die eigentliche Schadseite verborgen. Ausgewählten Mac-Nutzern hingegen wird ein gefälschter Software-Download präsentiert, der typische ClickFix-Mechanik nutzt: Opfer werden dazu verleitet, selbst schädliche Befehle auszuführen, etwa über vermeintliche Fehlerbehebungen oder Installationsanleitungen.
Für Verteidiger bedeutet diese Entwicklung, dass klassische automatisierte Erkennung über Crawler-basiertes URL-Scanning oder Sandbox-Analysen bei dieser Kampagne ins Leere laufen kann, da die Schadinfrastruktur genau solche Systeme gezielt aussperrt. Die schiere Zahl von über 250 Domains deutet zudem auf eine hohe Investition in Infrastruktur-Rotation hin, die Takedown-Bemühungen erschwert.
CISOs mit signifikantem Anteil an macOS-Endgeräten in der Belegschaft sollten die Erkennung stärker auf verhaltensbasierte Endpoint-Signale und Nutzeraufklärung zu ClickFix-Mustern verlegen, da netzwerkseitige Filterlisten allein durch das serverseitige Cloaking an Wirksamkeit verlieren. Die von Microsoft veröffentlichten Indikatoren sollten in bestehende Threat-Intelligence-Feeds eingespeist werden, sofern verfügbar.
Quelle: thehackernews.com · Erschienen 5. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.