Eine neu dokumentierte ClickFix-Kampagne hat sich still und leise zu einem weitverzweigten Netzwerk aus über 250 Domains entwickelt, die alle darauf ausgelegt sind, Mac-Benutzer dazu zu verleiten, ihre eigenen Rechner zu infizieren. Das Bemerkenswerte an dieser Operation ist nicht nur ihre Größe, sondern die Tatsache, dass die Angreifer Browser-Fingerprinting einsetzen – jene Tracking-Technik, auf die auch Werbetreibende und Datenhändler setzen –, um zu entscheiden, wem ein bösartiger Köder angezeigt wird und wem eine harmlose Seite.

Wie die ClickFix-Kampagne ihre Spuren verwischt

ClickFix-Angriffe folgen einem bekannten Muster: Eine gefälschte Website teilt Besuchern mit, ihr Browser oder System habe einen Fehler, und fordert sie dann auf, einen Befehl in ihr Terminal zu kopieren und einzufügen, um ihn zu „beheben“. Dieser Befehl installiert in Wirklichkeit Malware, in diesem Fall eine Variante, die mit AMOS in Verbindung steht, einem bekannten Infostealer für macOS, der darauf ausgelegt ist, gespeicherte Passwörter, Browserdaten und Informationen zu Kryptowährungs-Wallets zu sammeln.

Was diese Kampagne auszeichnet, ist das serverseitige Fingerprinting. Anstatt jedem Besucher den bösartigen Köder zu präsentieren, untersucht die Infrastruktur der Angreifer Details zum anfragenden Browser – etwa Bildschirmauflösung, installierte Schriftarten, User-Agent-Strings und andere subtile Konfigurationsmerkmale – bevor sie entscheidet, was angezeigt wird. Sicherheitsscanner, automatisierte Crawler und Forscher, die die Domains untersuchen, erhalten in der Regel eine saubere, unauffällige Seite. Echte Mac-Benutzer, die normal surfen, werden in den ClickFix-Köder gelockt.

Dies ist eine bedeutsame Weiterentwicklung darin, wie Malware-Kampagnen der Erkennung entgehen. Anstatt sich ausschließlich auf verschleierten Code oder kurzlebige Domains zu verlassen, nutzen die Betreiber passive Identifikationstechniken, um ihre Zielgruppe zu filtern, bevor ein Angriff überhaupt beginnt. Mit den Berichten zufolge über 250 beteiligten Domains verfügt die Kampagne über genügend Redundanz, sodass die Abschaltung einzelner Websites sie insgesamt kaum bremst.

Fingerprinting: Ein Werkzeug für Werbetreibende und Angreifer gleichermaßen

Browser-Fingerprinting ist nicht neu und nicht von Natur aus bösartig. Websites und Werbenetzwerke nutzen ähnliche Techniken seit Jahren, um Nutzer sitzungsübergreifend zu verfolgen, ohne auf Cookies angewiesen zu sein. Diese Kampagne zeigt, wie genau dieselben passiven Profiling-Methoden, die für kommerzielles Tracking eingesetzt werden, zweckentfremdet werden können, um selektiv Malware auszuliefern und gleichzeitig der Erkennung zu entgehen.

Diese Überschneidung ist einen Moment des Innehaltens wert. Jedes Mal, wenn ein Browser einer Website detaillierte technische Informationen preisgibt, entsteht die Möglichkeit, dass diese Daten auf eine Weise genutzt werden, die der Besucher nie erwartet hätte – sei es von einer Werbebörse, die ein Profil erstellt, oder in diesem Fall von einem Malware-Betreiber, der entscheidet, wer es wert ist, angegriffen zu werden. Leser, die tiefer verstehen möchten, wie Fingerprinting und andere Tracking-Mechanismen funktionieren und was gängige Datenschutz-Tools leisten können und was nicht, finden es vielleicht hilfreich, den Artikel Was ist ein VPN und wie funktioniert es? erneut zu lesen, denn Fingerprinting ist eine der Tracking-Methoden, die ein VPN allein nicht vollständig neutralisiert.

Warum das über macOS hinaus von Bedeutung ist

Während diese spezielle Kampagne mit AMOS-artigen Infostealern auf Mac-Benutzer abzielt, ist die zugrunde liegende Technik – Fingerprinting zu nutzen, um bösartige Inhalte selektiv vor automatisierten Abwehrmaßnahmen zu verbergen – nicht plattformspezifisch. Sie spiegelt einen breiteren Trend wider, bei dem Malware-Betreiber Werkzeuge aus der Ad-Tech- und Analysewelt entleihen, um ihre Infrastruktur widerstandsfähiger zu machen. Eine ähnliche Tarnlogik ist auch in anderen aktuellen Kampagnen aufgetaucht, die schädliche Nutzlasten in scheinbar legitimen Diensten verstecken, wie etwa die msaRAT-Technik der Chaos-Ransomware-Gruppe, die Command-and-Control-Verkehr in vertrauenswürdigen Browserprozessen verbirgt. Der gemeinsame Nenner ist die Umgehung durch Legitimität: Angreifer verstecken sich zunehmend offen sichtbar, statt auf offensichtlich verdächtige Infrastruktur zu setzen.

Was das für Sie bedeutet

Wenn Sie einen Mac verwenden, ist das praktische Risiko hier eindeutig: Jede Website, die Sie auffordert, das Terminal zu öffnen und einen Befehl einzufügen, um einen Fehler zu „beheben“, zu bestätigen, dass Sie ein Mensch sind, oder ein angebliches Sicherheitsproblem zu lösen, sollte als Warnsignal betrachtet werden. Seriöse Software-Updates und Schritte zur Fehlerbehebung funktionieren nicht auf diese Weise. Kein echter Fix, kein Browser-Update und keine CAPTCHA-Überprüfung erfordert, dass Sie manuell Shell-Befehle ausführen.

Weil diese Kampagne auf Fingerprinting setzt, um gezielt echte Nutzer anzuvisieren, erkennen gängige Sicherheitsscan-Tools sie möglicherweise nicht immer frühzeitig, was die Bedeutung des Nutzerbewusstseins erhöht. Es ist auch eine Erinnerung daran, dass Fingerprinting-basiertes Tracking – jener Art, die sowohl Werbetreibende als auch Angreifer nutzen – für die durchschnittliche Browsersitzung weitgehend unsichtbar ist, es sei denn, Sie setzen aktiv Datenschutzvorkehrungen ein, die darauf ausgelegt sind, einzuschränken, was Ihr Gerät preisgibt.

Praktische Schlussfolgerungen

  • Fügen Sie niemals einen Befehl in das Terminal oder die Ausführen-Dialogbox ein, nur weil eine Website Sie dazu auffordert – unabhängig davon, wie offiziell die Seite aussieht.
  • Halten Sie macOS und Ihren Browser auf dem neuesten Stand und seien Sie skeptisch bei Pop-ups, die dringende Fehlerbehebungen fordern.
  • Verwenden Sie Browser-Einstellungen oder -Erweiterungen, die die Angriffsfläche für Fingerprinting verringern, etwa die Einschränkung der Schriftarten-Auflistung und des Canvas-Zugriffs, wo möglich.
  • Wenn Sie recherchieren, wie Verschlüsselungs- und Datenschutz-Tools in eine umfassendere Verteidigungsstrategie passen, ist das Verständnis von VPN-Verschlüsselung ein guter Ausgangspunkt – bedenken Sie jedoch, dass der Schutz vor Fingerprinting separate Maßnahmen auf Browser-Ebene erfordert.

Diese ClickFix-Kampagne ist eine aufschlussreiche Fallstudie darüber, wie sich Angreifer anpassen: nicht indem sie neue Malware erfinden, sondern indem sie die Tracking-Infrastruktur des modernen Webs entleihen, um alte Tricks schwerer auffindbar zu machen. Vorsicht bei unaufgeforderten „Reparier es selbst“-Anweisungen zu bewahren, bleibt die einfachste und wirksamste Verteidigung.