Ein vertrauter Prompt wird zum Angriffsvektor

Die meisten Menschen haben schon einmal ohne nachzudenken ein CAPTCHA angeklickt. Genau dieses Routinevertrauen nutzt eine neue Malware-Kampagne aus. Sicherheitsforscher haben gefälschte CAPTCHA-Seiten identifiziert, die wie standardmäßige „Ich bin kein Roboter“-Verifizierungsbildschirme aussehen – nur dass sie dich statt der Bestätigung, dass du ein Mensch bist, dazu verleiten, Malware zu installieren, die 145 verschiedene Sicherheitsprozesse auf deinem Gerät deaktivieren kann.

Der Angriff funktioniert über eine Technik, die immer häufiger wird: Statt die Opfer aufzufordern, eine Datei herunterzuladen, weist die gefälschte Seite sie an, einen Befehl zu kopieren und in den Windows-Ausführen-Dialog oder in PowerShell einzufügen. Da das Opfer den Befehl physisch selbst ausführt, haben viele Antiviren-Tools und Browser-Schutzmechanismen keine Chance, einzugreifen, bevor der Schaden angerichtet ist. Sobald der Befehl ausgeführt wird, lädt und installiert der PowerShell-Befehl Malware, die systematisch die auf dem Rechner laufende Sicherheitssoftware herunterfährt – das System wird also praktisch geblendet für weitere Kompromittierungen, während die Malware im Hintergrund Daten stiehlt.

Warum diese Methode so effektiv ist

Was Fake-CAPTCHA-Kampagnen besonders gefährlich macht, ist, wie wenig technisches Wissen sie vom Opfer verlangen. Es gibt keinen verdächtigen Anhang zum Öffnen und keine offensichtliche ausführbare Datei, die eine Sicherheitswarnung auslöst. Die gesamte Täuschung beruht auf Social Engineering: eine Seite, die legitim aussieht, ein Verifizierungsschritt, der sich routiniert anfühlt, und Anweisungen, die harmlos erscheinen, weil Kopieren und Einfügen von Text sich wie eine passive Handlung anfühlt und nicht wie eine aktive Sicherheitsentscheidung.

Dies spiegelt einen breiteren Wandel wider, wie Cyberkriminelle ihre Angriffe verpacken. So wie Hacker Malware jetzt im Browser zusammenbauen und vertrauenswürdige Markennamen wie ChatGPT missbrauchen, um der Erkennung zu entgehen, nutzen Fake-CAPTCHA-Kampagnen dasselbe Prinzip: bösartige Absicht hinter einer Oberfläche zu verstecken, der Nutzer bereits vertrauen und die sie täglich verwenden. Traditionelle Antiviren-Signaturen sind darauf ausgelegt, bösartige Dateien zu erkennen, nicht benutzerinitiierte Befehle, die in ein legitimes Systemtool getippt werden. Genau diese Lücke sollen diese Kampagnen ausnutzen.

Sobald die 145 gezielten Sicherheitsprozesse deaktiviert sind, hat der kompromittierte Rechner praktisch seine Fähigkeit verloren, weitere bösartige Aktivitäten zu erkennen oder zu melden. Das öffnet die Tür für Diebstahl von Anmeldeinformationen, das Ernten von Browserdaten und die Exfiltration von allem anderen, was lokal gespeichert ist – von gespeicherten Passwörtern bis zu Kryptowährungs-Wallet-Informationen.

Die Datenschutz-Folgen deaktivierter Sicherheitstools

Die eigentliche Gefahr dieser Kampagne ist nicht nur die Erstinfektion, sondern das, was passiert, nachdem die Sicherheitstools ausgefallen sind. Mit deaktivierter Schutzsoftware kann ein infiziertes Gerät stillschweigend viel mehr preisgeben, als die meisten Opfer realisieren: im Browser gespeicherte Anmeldedaten, Session-Cookies, Autofill-Daten und lokal gespeicherte Dateien. Dies ist dieselbe Kategorie von Informationen, die letztlich großflächige Datenexpositionsvorfälle anheizt. Es erinnert an Muster, die man in Fällen wie dem SafePal-Datenleck, das fast 40.000 Kunden exponierte, sieht, wo sensible Kontodaten in die falschen Hände gerieten, oder dem Suno-Vorfall, der 55 Millionen Nutzer exponierte ohne rechtzeitige Benachrichtigung. In beiden Fällen spielten sich die Konsequenzen lange nach der ersten Kompromittierung ab – genau das Muster, das Infostealer-Malware wie diese erzeugen soll.

Was das für dich bedeutet

Wenn dich schon einmal jemand aufgefordert hat, dich zu „verifizieren als Mensch“, indem du einen Befehl in ein Ausführen-Feld oder Terminal kopierst – das ist nicht, wie legitime CAPTCHA-Systeme funktionieren. Echte Verifizierungssysteme fordern Nutzer niemals auf, PowerShell zu öffnen oder Systembefehle einzufügen. Jede Seite, die das tut, sollte als sofortige rote Flagge behandelt werden, egal wie überzeugend Branding oder Layout aussehen.

Diese Kampagne erinnert daran, dass moderne Malware zunehmend menschliches Verhalten angreift statt Software-Schwachstellen. Keine Firewall oder Antiviren-Update kann vollständig kompensieren, dass ein Nutzer freiwillig einen bösartigen Befehl ausführt – deshalb ist Bewusstsein heute genauso wichtig als Verteidigungsschicht wie jede technische Schutzmaßnahme.

Konkrete Handlungsempfehlungen

  • Kopiere und füge niemals Befehle von einer Website in den Windows-Ausführen-Dialog, PowerShell oder Terminal ein, egal wie offiziell die Seite aussieht.
  • Schließe den Browser-Tab sofort, wenn eine CAPTCHA-Seite dich zu einer Aktion auffordert, die über einen einfachen Klick oder die Bildauswahl hinausgeht.
  • Halte Sicherheitssoftware aktuell und aktiviere Manipulationsschutz-Funktionen, die verhindern können, dass Malware Antiviren-Prozesse stillschweigend deaktiviert.
  • Wenn du vermutest, einen verdächtigen Befehl ausgeführt zu haben, trenne die Internetverbindung, führe einen vollständigen Sicherheitsscan durch und ändere Passwörter für sensible Konten von einem separaten, nicht kompromittierten Gerät.
  • Überprüfe regelmäßig im Browser gespeicherte Passwörter und erwäge einen Passwortmanager, da Infostealer häufig zuerst lokal gespeicherte Anmeldedaten angreifen.

Fake-CAPTCHA-Malware-Kampagnen haben Erfolg, indem sie das Vertrauen in eine Routine ausnutzen, die wir selten hinterfragen. Wachsam zu bleiben, was ein echtes Verifizierungs-Prompt fragen darf und was nicht, bleibt der einfachste und effektivste Schutz.