ClickFix-Forensik: Wenn Nutzer zum Angriffswerkzeug werden
02.07.2026 clickfixsocial engineeringincident responsemalware forensik
Eine Technik erobert die Bedrohungslandschaft
Kaum eine Angriffstechnik hat die Incident-Response-Landschaft der letzten zwei Jahre so geprägt wie ClickFix. Das Prinzip ist bestechend einfach: Statt einen bösartigen Anhang oder Exploit zu liefern, wird das Opfer über eine gefälschte Fehlermeldung, ein angebliches CAPTCHA oder einen Update-Hinweis dazu gebracht, einen Befehl selbst auszuführen. Der Nutzer wird getäuscht, ein wahrgenommenes Problem durch automatisches oder manuelles Kopieren und Einfügen eines bösartigen Befehls in Terminal oder Run-Dialog zu “beheben”. Weil die Ausführung durch den Anwender selbst erfolgt, umgeht die Technik viele klassische Kontrollen. Da der Nutzer den Befehl selbst ausführt, wird keine bösartige Datei geliefert, die von traditionellen Abwehrmechanismen gescannt werden könnte – der Payload umgeht E-Mail-Filter, statische Antivirenprogramme und die meisten EDR-Tools.
Die Zahlen sprechen für sich: Microsoft zufolge machte ClickFix 47 Prozent der Erstzugriffs-Meldungen des Defender-Experts-Teams im vergangenen Jahr aus, während ESET-Telemetrie im ersten Halbjahr 2025 einen Anstieg der Angriffe um 517 Prozent verzeichnete. Palo Alto Unit 42 bestätigt die operative Reichweite: Unit 42 berichtete von der Unterstützung in fast einem Dutzend Incident-Response-Fällen, in denen ClickFix der initiale Zugriffsvektor war, betroffen waren Organisationen aus Technologie, Finanzdienstleistungen, professionellen Dienstleistungen und Fertigung. Die Technik wurde inzwischen offiziell als eigene Kategorie im MITRE-ATT&CK-Framework verankert: Die Technik trägt nun die eigene MITRE-ATT&CK-Kennung T1204.004, was die Schwere der Bedrohung unterstreicht.
Varianten und die Herausforderung für Forensiker
Für DFIR-Teams besonders relevant ist die rasante Weiterentwicklung der Ausführungsflächen. Ursprünglich zielte ClickFix auf den Windows-Run-Dialog (Win+R), was forensisch gut nachvollziehbar war. Doch die Angreifer haben nachgelegt: Der ursprüngliche Decoy von 2024 leitete Nutzer an, Windows+R zu drücken und in den Run-Dialog einzufügen. Eine neuere, seit 2025 bis 2026 verbreitete Version führte stattdessen zu Windows+X und dem Windows Terminal – dieses hinterlässt anders als der Run-Dialog keine Spur im RunMRU-Registrierungsschlüssel, den Incident-Responder typischerweise untersuchen. Damit verschwindet ein zentrales forensisches Artefakt, auf das sich viele Detection-Regeln stützen.
Auch die Payload-Übergabe wird raffinierter. Statt den eigentlichen Schadcode direkt in die Zwischenablage zu kopieren, nutzen neue Varianten einen zweistufigen Ansatz: Statt einen bösartigen Befehl zu kopieren, kopiert die neueste ClickFix-Variante einen scheinbar harmlosen Orchestrierungsbefehl. Die Seite lädt im Hintergrund eine Datei in den Downloads-Ordner, während die Zwischenablage nur einen kurzen Befehl erhält, der diese Datei verschiebt, entpackt und das enthaltene Skript ausführt – da die eingefügte Zeile nur der Orchestrator ist, umgeht dies AMSI, da der eigentliche Schadcode außerhalb des Scan-Bereichs liegt.
Neben FileFix, das die Explorer-Adressleiste nutzt und dabei das Mark-of-the-Web-Attribut umgeht, ist besonders ConsentFix relevant: Weil die Authentifizierung selbst echt ist, umgeht diese Technik Passkeys und Phishing-resistente MFA – eine Dezember-2025-Kampagne zeigte operative Reife, inklusive synchronisierter IP-Sperrung aller Phishing-Seiten unmittelbar nach Abschluss der Consent-Erteilung, was Incident-Respondern das Nachstellen des Ablaufs bei der Untersuchung erschwerte. Weitere dokumentierte Varianten sind PromptFix, CrashFix, TerminalFix und DownloadFix, wobei jede eine andere Ausführungsfläche oder einen anderen Verhaltensauslöser des Nutzers anspricht – das Muster signalisiert eine systematische Exploration: Angreifer arbeiten sich durch jede verfügbare Copy-and-Execute-Oberfläche des Betriebssystems und Browsers.
Auch staatliche Akteure haben die Technik übernommen: Proofpoint hat russische, iranische und nordkoreanische staatlich unterstützte Gruppen – darunter APT28, MuddyWater und Kimsuky – mit Kampagnen in Verbindung gebracht, die ClickFix in bestehende Infektionsketten integriert haben.
Konsequenzen für die forensische Praxis
Für DFIR-Teams bedeutet dies ein Umdenken bei der Artefaktsammlung: RunMRU-Einträge reichen nicht mehr aus, PowerShell Script Block Logging, Clipboard-Monitoring und Netzwerktelemetrie zu C2-Domains müssen kombiniert werden. Die Forschung resultierte in der Automatisierung der Analyse und Erfassung zahlreicher obfuskierter/kodierter LOLBin-Befehle im RunMRU-Registrierungsschlüssel und der erfolgreichen Extraktion und Blockierung neu erstellter bösartiger Domains durch die Netzwerkschutzfunktion. Besonders herausfordernd bleibt die Payload-Agnostik der Technik: ClickFix ist payload-agnostisch – dieselbe Zustellungs- und Social-Engineering-Kette transportiert Credential-Diebstahl, persistenten Fernzugriff und vollständige Netzwerk-Ransomware, was die SOC-Triage erschwert, da ein einziges Erkennungsmuster auf höchst unterschiedliche Bedrohungsergebnisse abgebildet werden kann.
Für Incident Responder heißt das: ClickFix-Fälle erfordern von Beginn an eine breite Hypothesenbildung statt vorschneller Klassifizierung als reiner Infostealer-Vorfall – und eine Artefaktstrategie, die über den klassischen RunMRU-Schlüssel hinausgeht.
← Zurück zur Übersicht