Security · 21.9.2026
Eine neue Angriffswelle nutzt gefälschte Fehlermeldungen (ClickFix), um die Schadsoftware ChainScript zu verbreiten, deren C2-Infrastruktur über eine Blockchain rotiert wird.
Sicherheitsforscher beobachten eine neue Angriffskampagne, bei der Cyberkriminelle sogenannte ClickFix-Szenarien nutzen, um eine bislang unbekannte Schadsoftware namens "ChainScript" zu verbreiten. Bei dieser Methode werden Anwender durch manipulierte Webseiten oder gefälschte Browser-Fehlermeldungen dazu verleitet, schädliche Befehle direkt in ihre PowerShell oder die Windows-Eingabeaufforderung zu kopieren. Der neu entdeckte Remote-Access-Trojaner (RAT) zeichnet sich besonders dadurch aus, dass er die Polygon-Blockchain nutzt, um seine Command-and-Control-Infrastruktur (C2) dynamisch zu rotieren und so der Entdeckung durch Sicherheitslösungen zu entgehen.
Für IT-Verantwortliche und Administratoren in der DACH-Region stellt diese Methode eine ernsthafte Bedrohung dar. ClickFix-Angriffe umgehen klassische E-Mail- und Webfilter, da sie auf die aktive Kooperation des Nutzers setzen. Dies geschieht meist unter dem Vorwand, ein vermeintliches Darstellungsproblem im Webbrowser zu beheben. Dass die Hintermänner nun das ChainScript-RAT einsetzen und dessen Steuerungsserver über die dezentrale Polygon-Blockchain koordinieren, erschwert die Abwehr auf Netzwerkebene massiv. Traditionelle IP- und DNS-Sperrlisten laufen ins Leere, da die C2-Adressen flexibel und fälschungssicher über Smart Contracts aktualisiert werden können. Ein erfolgreicher Befall ermöglicht Angreifern den vollständigen Zugriff auf das System, den Diebstahl von Anmeldedaten und das Nachladen weiterer Schadsoftware im Unternehmensnetzwerk.
Um sich vor dieser Bedrohung zu schützen, müssen Unternehmen und Administratoren sowohl organisatorische als auch technische Maßnahmen ergreifen. Da der Erfolg des Angriffs auf Social Engineering basiert, ist eine gezielte Sensibilisierung der Mitarbeiter unerlässlich. Nutzer müssen darauf geschult werden, niemals Anweisungen von Webseiten zu befolgen, die das Ausführen von PowerShell-Befehlen oder das manuelle Einfügen von Zwischenablage-Inhalten in Systemwerkzeuge verlangen.
Auf technischer Ebene sollten Administratoren folgende Schritte umsetzen:
Die Kombination aus bewährten Social-Engineering-Taktiken wie ClickFix und modernen Evasion-Techniken über die Blockchain zeigt die hohe Professionalität der Angreifer. Nur durch eine Kombination aus restriktiven Systemrichtlinien und kontinuierlicher Nutzersensibilisierung lässt sich dieser Angriffsvektor in Unternehmensnetzwerken effektiv schließen.
Quelle: The Hacker News