Wer am Computer eine Fehlermeldung erhält, denkt sich in der Regel nichts Schlimmes dabei. Und genau das wissen auch Hackerinnen und Hacker, die aktuell mit einer neuen Malware sowohl gefälschte Chrome-, OneDrive- als auch Microsoft Word-Benachrichtigungen erstellen.

Computer: Vor dieser Malware warnen Forschende

Sicherheitsforschende des Cybersicherheitsunternehmens Proofpoint haben eine neue Masche von Kriminellen gemeldet, mit der sie Nutzer*innen dazu verleiten, eine Malware namens ClickFix zu installieren. Dazu bieten man ihnen gefälschten Lösungen für häufige Fehler am Computer in den beliebten Diensten wie den oben genannten an.

In der Chrome-Version besagt das sich öffnende Popup beispielsweise „Etwas ist schief gelaufen mit der Darstellung dieser Webseite“. Das wird begründet mit einem fehlenden Update des Browsers, das sich über die angezeigte Schaltfläche „Korrektur kopieren“ (engl.: Copy fix) aber nachholen ließe.

Sobald Betroffene das entsprechende Feld anklicken, die vermeintlichen „Korrekturen“ herunterladen und ausführen, führen sie allerdings statt der Fehlerbehebung unwissentlich einen PowerShell- oder Windows-Ausführungsdialogbefehl aus, der ihre Systeme kompromittiert.

Dabei handelt es sich im Detail um ein Computer-Kommando, das direkt in die PowerShell-Konsole oder in den Ausführen-Dialog von Windows eingegeben wird, um eine Vielzahl von Aufgaben zu erledigen, die von der Ausführung von Programmen über das Öffnen von Systemwerkzeugen bis hin zur Durchführung von Systemadministrationsaufgaben reichen. Fremde erlangen damit also ganz unbemerkt weitreichende Systemzugriffe.

Lesetipp: So kannst du bekannte Hacker-Angriffe abwehren

Das passiert bei dem Angriff

Zum ersten Mal beobachtete man diese Technik bei einer ClearFake-Kampagne Anfang April. Dabei handelt es sich um eine gefälschte Browser-Update-Aktivitätsgruppe, die legitime Webseiten mit bösartigem HTML und JavaScript versetzt. Das führt dazu, dass die Webseite ein bösartiges Skript lädt, das wiederum ein zweites Skript lädt, welches verschiedene Prüfungen überstehen muss. Surft das Opfer dann weiter auf der Webseite, wird eine gefälschte Warnung eingeblendet, die dazu auffordert, ein „Root-Zertifikat“ zu installieren, um die Webseite korrekt anzuzeigen.

Doch damit hört die Masche nicht auf. Denn es gibt auch eine E-Mail-basierte Version dieses Vorgehens, bei der HTML-Anhänge verwendet werden. Diese zeigen eine Seite an, die Microsoft Word ähnelte und eine Fehlermeldung beinhaltet, laut derer die „‚Word Online‘-Erweiterung nicht installiert ist“. Zum Fortfahren bietet sie dann die zwei Optionen „Wie beheben“ und „Automatisch beheben“ an.

Lesetipp: Überraschende Sperre bei Windows-Update

So kannst du dich schützen

Helfen können an dieser Stelle die bereits bekannten und bewährten Vorsichtsmaßnahmen für Computer und ihre Nutzung. Dazu zählt zunächst die Verwendung eines Antivirenprogramms. Sei zudem immer vorsichtig mit den Anhängen, die du herunterlädst, auch wenn sie von einer vertrauenswürdigen Quelle zu stammen scheinen. Denke daran, niemals einen Code zu kopieren oder einzufügen, wenn du nicht weißt, was er bewirkt.

Quellen: Proofpoint

Seit dem 24. Februar 2022 herrscht Krieg in der Ukraine. Hier kannst du den Betroffenen helfen.