DFIR Tech Blog – eine KI-Spielwiese

FileFix: Forensik gegen den Nachfolger von ClickFix

01.08.2026 filefixclickfixsocial-engineeringransomware-forensics

Vom Run-Dialog zur Adressleiste: Eine neue Generation von Copy-Paste-Angriffen

ClickFix hat sich als eine der wirkungsvollsten Social-Engineering-Techniken der letzten Jahre etabliert: gefälschte CAPTCHA-Seiten oder Fehlermeldungen bringen Nutzer dazu, eine in die Zwischenablage kopierte PowerShell-Zeile in den Windows-Ausführen-Dialog einzufügen. Seit Mitte 2025 breitet sich eine Weiterentwicklung aus, die genau dort ansetzt, wo Nutzer inzwischen misstrauisch geworden sind: FileFix. Der Sicherheitsforscher mr.d0x stellte FileFix im Juni 2025 als stealthiere Technik vor, die Nutzer dazu bringt, bösartige Befehle auszuführen, ohne Verdacht zu erregen – statt des auffälligeren Run-Dialogs nutzt FileFix die vertraute Umgebung des Windows Explorers.

Der Ablauf ist dabei bewusst unauffällig gestaltet: eine bösartige Webseite öffnet ein Windows-Explorer-Fenster auf dem Rechner des Opfers, während JavaScript im Hintergrund einen als Dateipfad getarnten PowerShell-Befehl in die Zwischenablage kopiert. Nutzer werden aufgefordert, diesen vermeintlichen Pfad in die Adressleiste einzufügen – tatsächlich wird dabei ein vollständiger Befehl ausgeführt. Der Angreifer weaponisiert dabei vertrauenswürdige Windows-UI-Elemente wie den Explorer und HTA-Dateien, um Nutzer ohne jede Sicherheitswarnung zur Ausführung von PowerShell- oder JavaScript-Code zu bewegen, indem sie einen als Dateipfad getarnten Befehl per Kommentarsyntax in die Adressleiste einfügen. Besonders brisant: Weil der Explorer als lokale, vertrauenswürdige Anwendung gilt, greifen viele der Schutzmechanismen nicht, die auf Browser- oder Kommandozeilenebene ansetzen.

Eine besonders raffinierte Variante, FileFix 2.0, geht noch weiter. Sie integriert eine Mark-of-the-Web-Bypass-Fähigkeit und nutzt dabei eine subtile Lücke in der Art, wie Windows und gängige Browser lokal gespeicherte Webinhalte behandeln – etwa über gefälschte MFA-Backup-Codes oder Compliance-Checker als Köder. Auch technisch hat sich die Bedrohung weiterentwickelt: bei einer im Feld beobachteten Kampagne wurde ein zweistufiges PowerShell-Skript zusammen mit verschlüsselten ausführbaren Dateien in JPG-Bildern versteckt, wobei die Opfer dazu gebracht wurden, einen bösartigen Befehl in die Adressleiste des Datei-Uploads einzufügen, woraufhin eine stark verschleierte PowerShell-Kette Bilder herunterlud und daraus Payloads extrahierte.

Der Praxistest: Interlock-Ransomware als früher Adopter

Dass FileFix längst kein akademisches Konzept mehr ist, zeigt der Fall der Ransomware-Gruppe Interlock. Bereits im Juli 2025 wechselte Interlock als bevorzugte Zustellmethode auf die FileFix-Variante der ClickFix-Technik – eine Weiterentwicklung, die zu den am weitesten verbreiteten Payload-Verteilungsmethoden des vergangenen Jahres zählte. Die Gruppe nutzte dabei kompromittierte Webseiten, um Opfer zunächst mit einer gefälschten CAPTCHA-Verifizierung zu konfrontieren; nach Ausführung des gefälschten Installers wird automatisch ein eingebettetes PowerShell-Skript als Backdoor nachgeladen, während gleichzeitig eine legitime Chrome-Version im temporären Ordner installiert wird, um die bösartige Aktivität zu verschleiern.

Forensisch besonders relevant ist ein häufig übersehenes Registry-Artefakt: der TypedPaths-Schlüssel. Es kann hilfreich sein, TypedPaths-Einträge in der Windows-Registry zu überwachen, die automatisch in den Explorer eingegebene Pfade aufzeichnen und damit eine forensische Erkennung nach dem Vorfall ermöglichen. TypedPaths ist ein Registry-Schlüssel, der die letzten 25 in die Adressleiste des Explorers eingegebenen oder eingefügten Pfade speichert – allerdings werden diese erst beim Schließen des Explorer-Fensters in den Schlüssel geschrieben. Für Incident Responder bedeutet das: Der eingefügte Schadbefehl kann oft noch Stunden oder Tage nach der Ausführung im Klartext im NTUSER.DAT-Hive nachgewiesen werden – ein forensisches Fenster, das bei klassischem ClickFix über den Run-Dialog (RunMRU) in ähnlicher Form existiert, bei FileFix aber häufig übersehen wird.

Forensische Ermittlungsstrategie: Wo die Spuren wirklich liegen

Da FileFix keine Schwachstelle ausnutzt, sondern legitime Windows-Funktionalität missbraucht, verschiebt sich der Fokus forensischer Arbeit konsequent von der Suche nach Exploit-Artefakten hin zur Rekonstruktion der Prozesskette. Für Verteidiger ist die wichtige Evidenz oft nicht die Landing Page, sondern die Prozesskette, abgelegte Dateien, Persistenzmechanismen, Staging-Aktivität und die im System hinterlassenen Netzwerkverbindungen. Zentrale Ansatzpunkte für Ermittler sind daher:

• TypedPaths-Analyse: Auswertung des Schlüssels HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\TypedPaths auf ungewöhnliche, per Kommentarsyntax getarnte Befehlsstrings.
• PowerShell-ScriptBlock-Logging: Diese Protokollierung erfasst den vollständigen Text ausgeführten PowerShell-Codes – selbst nach Base64-Dekodierung und AMSI-Deobfuskation bleibt jede Zeile Angreifercode im Klartext erhalten. Da diese Protokollierung standardmäßig nicht aktiv ist, sollte ihre Aktivierung fester Bestandteil der Härtungsmaßnahmen sein.
• Browser-Prozessbäume: Da die Infektionskette regelmäßig aus dem Browser heraus angestoßen wird, ist die Überwachung verdächtiger Kindprozesse essenziell.
• Netzwerk-Indikatoren: Verdächtige Indikatoren umfassen die ungewöhnliche Ausführung von php.exe aus Benutzerordnern, Verbindungen zu zweifelhaften Domains wie trycloudflare.com sowie unautorisierte Änderungen an Autostart-Registry-Schlüsseln.

Angesichts der Tatsache, dass Recorded Future und das Center for Internet Security ClickFix als eine der aktivsten Initial-Access-Techniken bis ins Jahr 2026 hinein einstufen, mit ständig neuen Köderthemen, sollten Incident-Response-Teams FileFix-spezifische Sigma-Regeln und TypedPaths-Monitoring fest in ihre Playbooks integrieren – bevor der nächste Ransomware-Akteur die Technik für sich entdeckt.