Vorsicht vor Betrug: Ein Klick kann verheerende Folgen haben
Die Sicherheit im Internet hat für viele Nutzer oberste Priorität. Dennoch sind Betrugsversuche, wie Phishing-Mails, nach wie vor weit verbreitet. Solche Mails fordern Nutzer dazu auf, Links zu klicken, die sie auf gefälschte Webseiten leiten. Dort sollen sie sensible Informationen wie Zugangsdaten oder Kreditkarteninformationen preisgeben. Eine neue Betrugsmasche verfolgt jedoch einen anderen, viel perfideren Ansatz: Die Täter konzentrieren sich nicht auf die persönlichen Daten, sondern nehmen direkten Einfluss auf die Computer der Nutzer.
In diesem Fall wird eine gefälschte Sicherheitsüberprüfung verwendet, die zunächst glaubwürdig erscheint, aber äußerst gefährlich ist. Die Betrüger manipulieren das Vertrauen der Anwender in etablierte Sicherheitsdienste, indem sie auf kompromittierten Webseiten eine täuschend echte Prüfung von Cloudflare präsentieren. Die Aufforderung lautet sinngemäß: „Bestätigen Sie, dass Sie ein Mensch sind.“ Um dies zu erreichen, ist es nicht notwendig, die gesamte Webseite zu übernehmen; oft genügt es, einen eigenen JavaScript-Code einzuschleusen, der eine zusätzliche Oberfläche über den bestehenden Inhalt legt.
Wie der Betrug funktioniert
Im August 2026 dokumentierte Microsoft eine Angriffskampagne, die als ClickFix oder TerminalFix bekannt ist und genau diesem Muster folgt. Der Angriff wird automatisch aktiviert, sobald Nutzer den Anweisungen der vermeintlichen Cloudflare-Überprüfung folgen. Diese Vorgehensweise ist besonders hinterhältig, da die Nutzer unwissentlich einen Befehl in das Windows Terminal eingeben und ausführen.
Im Windows Terminal, das als Benutzeroberfläche dient, läuft PowerShell als Befehlsumgebung. Erreichen Nutzer eine kompromittierte Webseite, wird durch ein eingeschleustes JavaScript die gefälschte Cloudflare-Prüfung angezeigt. Nach dem Klick auf „Bestätigen Sie, dass Sie ein Mensch sind,“ wird ein vorbereiteter PowerShell-Befehl in die Zwischenablage kopiert. Die Anleitung an die Nutzer lautet dann:
- Windows-Taste + X
- „I“ für Terminal öffnen
- Strg + V
- Enter
Die Nutzer bemerken den kopierten Inhalt zunächst nicht, sondern erst, wenn sie ihn im Windows-Terminal einfügen. Mit dem Drücken von Enter laden sie die Schadsoftware im Hintergrund herunter, und die Angreifer erhalten Zugriff auf das System. Eine authentische Cloudflare-Prüfung würde niemals das Windows Terminal oder PowerShell erfordern.
PowerShells Bedeutung in den Angriffen
Obwohl PowerShell ein legitimes Windows-Tool ist, das zur Ausführung von Befehlen, zum Herunterladen von Dateien und zum Starten von Programmen verwendet wird, nutzen Angreifer es häufig, um Schadcode nach einem ersten Zugriff nachzuladen oder auszuführen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hebt hervor, dass solche Kommandozeileninterpreter oft eine zentrale Rolle in Cyberangriffen spielen.
So erkennen Sie den Betrugsversuch
Den Betrugsversuch zu identifizieren, gestaltet sich als schwierig, da die Cloudflare-Technologie an sich seriös ist. Cloudflare Turnstile hat die Aufgabe, zwischen menschlichen Besuchern und automatisierten Zugriffen zu unterscheiden. Abhängig vom Risiko kann Turnstile eine Checkbox anzeigen oder die Prüfung im Hintergrund abwickeln. Wenn eine vermeintliche Cloudflare-Prüfung jedoch verlangt, das Windows Terminal oder eine andere Eingabeaufforderung zu öffnen, um einen unbekannten Befehl einzugeben, sollten Nutzer sofort den Tab schließen.
Ein bewährter Grundsatz lautet: Eine Webseite sollte niemals verlangen, einen Windows-Befehl auszuführen, um zu beweisen, dass man kein Bot ist. Im Zweifelsfall ist es ratsam, die Seite sofort zu verlassen.
Folgen eines betroffenen Klicks auf Enter
Wurde Enter gedrückt, ist es wichtig, die Situation ernst zu nehmen, selbst wenn zunächst keine sichtbaren Veränderungen auftreten. In der von Microsoft analysierten TerminalFix-Kampagne führt der eingefügte PowerShell-Befehl zu einem mehrstufigen Angriff. Dieser umfasst das Herunterladen eines Archivs aus dem Internet, das Entpacken von Dateien auf dem Computer und das Starten zusätzlicher Komponenten. Die Angreifer nutzen sogar legitime, signierte Windows-Dateien in ihrer Angriffskette und platzieren manipulierte DLLs, was als DLL-Sideloading bekannt ist.
Darüber hinaus laden die Angreifer weitere Schadprogramme nach und verstecken Daten in scheinbar harmlosen PNG-Bildern. Diese Schadsoftware kann gezielt Informationen über das Netzwerk abrufen und einen sogenannten Reverse-Tunnel aufbauen. Dadurch wird der betroffene Computer zum Zugangspunkt für das interne Netzwerk. Microsoft warnt, dass Geräte, die betroffen sind, als potenzielle Ausgangspunkte für zukünftige Angriffe betrachtet werden sollten.
Umfassende Überprüfung des Computers
Sollten Nutzer den Befehl bereits ausgeführt haben, ist es ratsam, den Computer zuerst vom Internet zu trennen. Anschließend empfiehlt es sich, den PC mit Microsoft Defender Offline scannen zu lassen. Dieser Scan erfolgt außerhalb des regulären Windows-Betriebs und kann auch Schadsoftware identifizieren, die sich im laufenden System versteckt. Danach sollte ein vollständiger Scan mit Microsoft Defender durchgeführt werden.
Wenn das Programm Schadsoftware erkennt, kann es diese in der Regel isolieren oder entfernen. Schwieriger wird es, wenn die Schadsoftware bereits dauerhafte Startmechanismen eingerichtet hat. In den beobachteten Fällen haben die Angreifer Registry-Einträge und geplante Aufgaben für eine erneute Ausführung erstellt. Taucht die Schadsoftware nach der Bereinigung wieder auf oder kann Defender sie nicht vollständig entfernen, sollte eine Neuinstallation von Windows in Betracht gezogen werden.
Wichtige Schutzmaßnahmen
Um sich zu schützen, sollten folgende Grundsätze beachtet werden:
- Eine Cloudflare-Prüfung findet im Browser statt; es ist kein unbekannter Windows-Befehl notwendig.
- Führen Sie keine Befehle aus, die auf einer fremden Webseite verlangt werden.
- Versuchen Sie nicht, die Prüfung auf irgendeine Weise zu umgehen. Schließen Sie die Seite sofort.
- Schließen Sie den Tab und rufen Sie die gewünschte Webseite gegebenenfalls über eine bekannte Adresse erneut auf.
Falls Nutzer bereits Enter gedrückt haben, ist es ratsam, nicht in Panik zu verfallen, aber auch nicht zu erwarten, dass nichts passiert. Der Computer sollte vom Internet getrennt und gründlich überprüft werden.
Wurde der Schadcode ausgeführt, sollten die Nutzer damit rechnen, dass möglicherweise Zugangsdaten abgegriffen wurden. Microsoft empfiehlt, alle Passwörter, die auf dem betroffenen Gerät gespeichert waren, von einem anderen, sicheren Gerät aus zu ändern.
Je schneller Nutzer handeln, desto effektiver können sie verhindern, dass aus einem vermeintlich harmlosen Klick ein ernsthaftes Sicherheitsproblem entsteht.
Quellen: t-online, WDR
Dieser Text wurde mit Hilfe von künstlicher Intelligenz in Zusammenarbeit mit unserer Redaktion erstellt.
