ClickFix-Angriffe: Schadcode im Browser-Cache umgeht Windows-Schutz

Security · 6.10.2026

Eine neue Variante der ClickFix-Methode nutzt manipulierte Websites, um Schadcode im Browser-Cache abzulegen und Sicherheitsbarrieren unter Windows zu umgehen.

Sicherheitsforscher haben eine neue, hochentwickelte Variante der sogenannten „ClickFix“-Angriffsmethode entdeckt. Dabei infizieren Angreifer legitime Websites, um bösartige Skripte unbemerkt im Cache des Webbrowsers abzuspeichern (Pre-Fetching). Durch diesen Ansatz müssen keine klassischen Downloads initiiert werden, wodurch gängige Sicherheitsprüfungen und Ausführungssperren von Windows effektiv umgangen werden.

Warum ist das wichtig?

Für IT-Verantwortliche und Administratoren in Unternehmen der DACH-Region stellt diese Methode ein erhebliches Risiko dar. Da der Payload direkt aus dem lokalen Browser-Cache geladen wird, greifen traditionelle Erkennungsmuster für verdächtige Web-Downloads oft ins Leere. Angreifer nutzen die Gutgläubigkeit von Nutzern aus, indem sie täuschend echte Fehlermeldungen – wie angebliche Probleme beim Laden von Webseiten oder vermeintlich fehlende Browser-Updates – einblenden. Folgt der Anwender den Anweisungen, wird der bereits im Cache liegende Schadcode ausgeführt. Dies betrifft insbesondere Windows-Umgebungen, da die Angreifer gezielt die lokalen Ausführungslimits des Betriebssystems austricksen, um Ransomware, Infostealer oder Remote-Access-Trojaner (RATs) ins Firmennetzwerk einzuschleusen.

Was Nutzer jetzt tun sollten

Um sich und Ihr Unternehmen vor dieser neuen Bedrohungswelle zu schützen, sollten IT-Verantwortliche folgende Maßnahmen umgehend ergreifen:

• Sensibilisierung der Mitarbeiter: Schulen Sie Ihr Team gezielt darauf, bei plötzlichen Fehlermeldungen im Browser (z. B. Aufforderungen, PowerShell-Befehle zu kopieren und auszuführen) extrem misstrauisch zu sein. Legitime Webseiten fordern Nutzer niemals auf, solche Befehle manuell auszuführen.
• Sicherheitsrichtlinien verschärfen: Blockieren Sie die Ausführung von Skripten (wie PowerShell, Windows Script Host oder mshta) für Standardbenutzer über Gruppenrichtlinien (GPOs) oder AppLocker.
• Endpoint-Protection (EDR) optimieren: Stellen Sie sicher, dass Ihre Endpoint-Detection-and-Response-Lösungen so konfiguriert sind, dass sie verdächtige Aktivitäten, die von Webbrowsern ausgehen (wie das Starten von Systemwerkzeugen), sofort blockieren und melden.
• Browser-Richtlinien anpassen: Schränken Sie das automatische Vorabladen (Pre-Fetching) von Ressourcen über administrative Vorlagen im Unternehmen ein, falls dies das Sicherheitskonzept erfordert.

Fazit

Die Weiterentwicklung der ClickFix-Kampagnen zeigt, dass Angreifer zunehmend auf lokale Speicher- und Ausführungsmechanismen setzen, um netzwerkbasierte Schutzbarrieren auszuhebeln. Nur eine Kombination aus restriktiven Betriebssystem-Rechten und geschulten Anwendern bietet hier einen effektiven Schutz.

Quelle: The Hacker News