Warum Ihre Benutzer Malware direkt in die PowerShell kopieren

Ein Marketing-Manager in einem mittelständischen Unternehmen erlebt einen frustrierenden Dienstag. Ein Zoom-Link für ein wichtiges Kundengespräch lässt sich nicht richtig laden und zeigt einen Browserfehler über einen fehlenden Codec an. Ein hilfreiches Pop-up erscheint mit einer Schaltfläche „Fix“. Es fordert den Manager auf, eine Codezeile zu kopieren, die PowerShell zu öffnen und den Befehl einzufügen, um das Problem zu beheben. Innerhalb von Sekunden ist der Manager wieder im Meeting, ohne zu wissen, dass er gerade einen Bedrohungsakteur in das interne Netzwerk des Unternehmens eingeladen hat. Dies ist der Kern der ClickFix-Social-Engineering-Taktik, und ihre neueste Entwicklung ist eine Kampagne, die Microsoft TerminalFix nennt.

Ich habe kürzlich eine Probe dieser Kampagne in meinem Labor analysiert. Die technische Raffinesse der Malware ist bemerkenswert, aber die psychologische Manipulation ist der eigentliche Motor des Angriffs. Angreifer haben sich von technischen Exploits zu dem verlagert, was ich „menschlich unterstützte Ausführung“ nenne. Sie müssen keine Zero-Day-Schwachstelle in einem Browser mehr finden, wenn sie einfach einen Menschen davon überzeugen können, jede Sicherheitskontrolle auf seinem eigenen Rechner selbst zu umgehen. Aus Risikoperspektive umgeht dies das gesamte Konzept des Netzwerkperimeters.

Die psychologische Falle des gefälschten CAPTCHAs

Die TerminalFix-Kampagne beginnt mit einer kompromittierten Website oder einer bösartigen Anzeige. Wenn ein Benutzer auf der Seite landet, sieht er ein realistisches Overlay, das ein Cloudflare-CAPTCHA oder eine Browser-Update-Benachrichtigung imitiert. Dies ist eine kluge Wahl, da Benutzer darauf konditioniert sind, diesen Schnittstellen zu vertrauen. Uns wird seit einem Jahrzehnt gesagt, dass CAPTCHAs die Art und Weise sind, wie wir beweisen, dass wir menschlich und sicher sind. Der Angreifer untergräbt dieses Vertrauen, indem er ein Sicherheitsritual in einen Infektionsvektor verwandelt.

In der TerminalFix-Variante wird der Benutzer angewiesen, eine Reihe von manuellen Schritten auszuführen, um seine Identität zu „verifizieren“ oder einen Darstellungsfehler zu beheben. Die Anweisungen sagen dem Benutzer, eine bestimmte Tastenkombination wie Windows-Taste + R zu drücken oder das Windows-Terminal direkt zu öffnen. Während der Benutzer diese Schritte befolgt, kopiert die Website im Hintergrund heimlich einen bösartigen Befehl in die Systemzwischenablage. Wenn der Benutzer das einfügt, was er für einen Verifizierungsschlüssel hält, fügt er in Wirklichkeit einen PowerShell-Einzeiler ein, der eine mehrstufige Infektion einleitet.

Mit Blick auf die Bedrohungslandschaft ist diese Methode bemerkenswert effektiv, da sie viele traditionelle E-Mail-Gateway-Filter vermeidet. Es gibt keinen bösartigen Anhang zum Scannen und keinen verdächtigen Link in einem Posteingang. Die Interaktion findet vollständig innerhalb des Browsers und der lokalen Umgebung des Benutzers statt. Konstruktionsbedingt ist der Befehl oft obfuskatiert oder verwendet legitime Systemtools wie „powershell.exe“ oder „msiexec.exe“, um die nächste Stufe herunterzuladen, was es für einfache Antivirensoftware schwierig macht, die erste Ausführung zu markieren.

Der Wechsel von Windows „Ausführen“ zum Terminal

Frühere ClickFix-Kampagnen stützten sich oft auf den Windows-Dialog „Ausführen“, um kurze Befehle auszuführen. Während dies für einfache Downloader-Stubs effektiv war, hat der Ausführen-Dialog eine Zeichenbegrenzung, die die Komplexität des ursprünglichen Skripts einschränkt. TerminalFix zielt stattdessen auf das Windows-Terminal oder die PowerShell ab. Diese Änderung ist nicht nur eine kosmetische Vorliebe. Ein Terminalfenster kann deutlich längere, mehrzeilige Skripte akzeptieren, die integrierte Logik für Umgebungsprüfungen und Anti-Analyse-Routinen enthalten.

Microsoft-Forscher argumentieren, dass das Leiten von Benutzern in die PowerShell die Wahrscheinlichkeit erhöht, dass komplexe Skripte erfolgreich ausgeführt werden. Moderne Windows-Versionen öffnen das Terminal standardmäßig oft in einer PowerShell-Sitzung, was dem Angreifer von Haus aus eine leistungsstarke Skriptumgebung bietet. Diese Komplexität ermöglicht es dem Angreifer, eine erste Aufklärung durchzuführen, bevor sekundäre Payloads die Festplatte erreichen. Das Skript kann prüfen, ob der Rechner einer Domäne beigetreten ist, nach spezifischer Sicherheitssoftware suchen oder feststellen, ob es in einer virtuellen Maschine ausgeführt wird, die von Malware-Forschern verwendet wird.

Hinter den Kulissen lädt der anfängliche PowerShell-Befehl ein ZIP-Archiv herunter. In diesem Archiv befinden sich eine legitime ausführbare Datei und eine bösartige DLL. Der Angreifer verwendet eine Technik namens DLL-Sideloading. Wenn das legitime Programm ausgeführt wird, sucht es nach bestimmten Bibliotheksdateien, die es für seine Funktion benötigt. Der Angreifer platziert eine bösartige Datei mit demselben Namen im selben Ordner. Das System lädt den bösartigen Code anstelle der echten Bibliothek. Dies ist ein heimlicher Weg, um bösartige Aktivitäten unter dem Prozessnamen einer vertrauenswürdigen Anwendung zu verbergen.

Steganografie und das Reverse-Tunnel-Implantat

Die Angriffskette endet nicht bei der einfachen Dateiausführung. TerminalFix verwendet Steganografie, um seine sekundären Payloads in scheinbar harmlosen PNG-Bilddateien zu verstecken. Dies ist eine reaktive Maßnahme gegen netzwerkbasierte Verkehrsinspektion. Eine Firewall blockiert möglicherweise den direkten Download einer ausführbaren Datei, wird aber wahrscheinlich keine Reihe von Bild-Downloads von einer seriös aussehenden Domain markieren. Die bösartige DLL extrahiert den versteckten Code aus diesen Bildern und setzt die endgültige Payload im Arbeitsspeicher zusammen.

Eine der gefährlichsten Komponenten dieser Kampagne ist das Python-basierte Reverse-Tunnel-C2-Implantat. Dieses Implantat stellt über einen verschlüsselten WebSocket-Kanal eine dauerhafte Verbindung zur Infrastruktur des Angreifers her. Es tunnelt beliebigen TCP-Verkehr über diesen Kanal zurück. Proaktiv gesprochen ist dies ein Albtraum für Incident Responder. Es platziert den Angreifer effektiv so im internen Netzwerk, als wäre er physisch an einen Ethernet-Port im Büro angeschlossen.

Im Falle einer Sicherheitsverletzung, die diesen Reverse-Tunnel betrifft, hat der Angreifer eine direkte Sichtverbindung zu den Domänencontrollern, Dateifreigaben und internen Anwendungen der Organisation. Sie können viele nach außen gerichtete Sicherheitskontrollen umgehen, da ihr Datenverkehr von einem vertrauenswürdigen internen Host stammt. Microsoft-Forscher haben beobachtet, dass Angreifer diesen Zugang nutzen, um Privilegien zu eskalieren und sensible Daten zu exfiltrieren. In einigen Fällen führt dieser Zugriff direkt zur Bereitstellung von Ransomware im gesamten Unternehmen.

Debatte über die Neuartigkeit der Bezeichnung TerminalFix

In der Sicherheits-Community gibt es eine rege Debatte darüber, ob TerminalFix eine wirklich eigenständige Bedrohung ist. Einige Forscher, darunter Tommy Madjar von Proofpoint, argumentieren, dass die Verwendung von Terminalfenstern keine neue Entwicklung ist. Sie weisen darauf hin, dass bereits frühe ClickFix-Aktivitäten Anfang 2024 Terminalfenster zur Ausführung von Payloads nutzten. Aus dieser Sicht ist TerminalFix nur eine weitere Iteration etablierter Cluster wie ClearFake oder ErrTraffic.

Ich kommuniziere über Signal mit mehreren Bedrohungsanalysten, die diese Skepsis teilen. Sie sehen diese Kampagnen eher als eine kontinuierliche Entwicklung von Social-Engineering-Lockmitteln und nicht als eine Reihe von unterschiedlichen, markengeschützten Bedrohungen. Ob wir es TerminalFix oder eine Variante von ClearFake nennen, die technische Realität bleibt dieselbe. Die Angreifer entfernen sich erfolgreich von automatisierten Exploits zugunsten der Manipulation des Benutzerverhaltens. Dieser Wandel erfordert von uns ein Umdenken bei der Verteidigung der Endpunkte.

Auf architektonischer Ebene besteht das Problem darin, dass wir Systeme gebaut haben, die einem Standardbenutzer über die Befehlszeile eine enorme Macht verleihen. Während Entwickler und Systemadministratoren diese Tools benötigen, muss ein typischer Büroangestellter die PowerShell nur selten anfassen. Die TerminalFix-Kampagne nutzt diese Überbereitstellung von Funktionen aus. Wenn ein Benutzer die Macht hat, ein Skript auszuführen, das einen permanenten Netzwerktunnel erstellt, hängt die Sicherheit der gesamten Organisation davon ab, dass dieser einzelne Benutzer nicht getäuscht wird.

Praktische Verteidigung und die menschliche Firewall

Die Verteidigung gegen TerminalFix erfordert eine Kombination aus technischen Einschränkungen und Benutzerschulung. Abgesehen vom Patchen ist die effektivste technische Gegenmaßnahme die Einschränkung der PowerShell und des Windows-Dialogs „Ausführen“ für Benutzer, die diese nicht benötigen. Organisationen können Gruppenrichtlinien oder AppLocker verwenden, um eine „Deny by Default“-Haltung für diese Tools zu etablieren. Wenn der Marketing-Manager aus meinem früheren Beispiel versucht hätte, die PowerShell zu öffnen und die Meldung „Diese Aktion wurde von Ihrem Administrator eingeschränkt“ erhalten hätte, wäre der Angriff sofort gescheitert.

Breite Einschränkungen sind jedoch nicht immer machbar. Viele moderne Software-Tools verlassen sich für Installation und Updates auf die Terminal-Ausführung. Wie Tommy Madjar anmerkte, schlagen sogar legitime Entwickler-Tools wie Claude Code Installationsmethoden vor, bei denen Befehle in ein Terminal eingefügt werden müssen. Dies schafft eine verwirrende Umgebung für Benutzer. Ihnen wird gesagt, sie sollen niemals Befehle von einer Website einfügen, aber dann verlangen ihre offiziellen Unternehmenstools genau das von ihnen. Deshalb ist Bildung die geschäftskritische Komponente der menschlichen Firewall.

Schulungen müssen über einfache „Nicht klicken“-Ratschläge hinausgehen. Benutzer müssen das Konzept einer vertrauenswürdigen Quelle und die spezifische Gefahr der Zwischenablage verstehen. Ich empfehle Organisationen, Phishing-Simulationen durchzuführen, die speziell die ClickFix-Technik nachahmen. Zu sehen, wie einfach ein gefälschtes CAPTCHA zu einer Terminal-Eingabeaufforderung führen kann, ist für die meisten Mitarbeiter eine augenöffnende Erfahrung. Wenn Benutzer das „Wie“ hinter dem Angriff verstehen, sind sie eher widerstandsfähig, wenn sie mit der Realität konfrontiert werden.

Aus forensischer Sicht sollten Sicherheitsteams auf ungewöhnliche Eltern-Kind-Prozessbeziehungen achten. Es kommt selten vor, dass ein Webbrowser wie Chrome oder Edge der Elternprozess für eine PowerShell-Sitzung ist, die dann einen netzwerkaktiven Python-Interpreter startet. Diese Signale sind granulare Indikatoren für eine TerminalFix-Intrusion. Die Etablierung einer Baseline für die normale Terminalnutzung ermöglicht es dem SOC, diese Anomalien zu identifizieren, bevor der Angreifer sich lateral durch das Netzwerk bewegen kann.

Wichtige Erkenntnisse für die Unternehmenssicherheit

• Auditieren Sie die Nutzung von PowerShell und Windows-Terminal im gesamten Unternehmen und schränken Sie den Zugriff für Standardbenutzer über GPO oder AppLocker ein.
• Überwachen Sie Indikatoren für DLL-Sideloading, insbesondere legitime ausführbare Dateien, die aus ungewöhnlichen Verzeichnissen ausgeführt werden oder nicht signierte DLLs laden.
• Implementieren Sie eine Netzwerküberwachung, um anhaltenden, hochvolumigen WebSocket-Verkehr zu unbekannten externen IPs zu erkennen, der auf einen Reverse-Tunnel hindeuten kann.
• Aktualisieren Sie Schulungen zum Sicherheitsbewusstsein, um Lockmittel im „ClickFix“-Stil und die Gefahren des Einfügens von Befehlen aus der Zwischenablage in Terminalfenster einzubeziehen.
• Evaluieren Sie den Einsatz von Anwendungssteuerungslösungen, die die Ausführung nicht autorisierter Skripte verhindern können, selbst wenn diese in eine legitime Shell eingefügt werden.

Quellen: Microsoft Threat Intelligence, MITRE ATT&CK (Techniken T1547.001, T1574.002, T1027.003), Proofpoint Threat Research.

Dieser Artikel dient nur zu Informations- und Bildungszwecken und ersetzt kein professionelles Cybersicherheits-Audit oder einen Incident-Response-Service.