Security · 9.10.2026
Angreifer nutzen manipulierte Suchanzeigen und legitime Bing-Weiterleitungen, um Schadsoftware über gefälschte Claude-KI-Installer mittels ClickFix-Methoden zu verbreiten.
Sicherheitsforscher warnen vor einer neuen Angriffswelle, bei der Cyberkriminelle bezahlte Google-Anzeigen und legitime Bing-Suchergebnis-Weiterleitungen missbrauchen. Nutzer, die nach der KI-Software Claude suchen, werden dabei auf gefälschte Webseiten umgeleitet. Dort wird ihnen ein vermeintlicher Installer angeboten, der im Hintergrund eine sogenannte ClickFix-Attacke auslöst.
Für Unternehmen und IT-Verantwortliche im DACH-Raum stellt diese Methode eine erhebliche Bedrohung dar. Angestellte, die auf der Suche nach Produktivitätswerkzeugen wie KI-Assistenten sind, vertrauen oft den obersten Suchergebnissen bei Google. Da die Angreifer legitime Bing-Weiterleitungs-URLs in ihren Google-Anzeigen verwenden, fällt es auch Sicherheitsfiltern schwer, diese Anzeigen im Vorfeld als bösartig einzustufen. Bei der ClickFix-Methode wird dem Opfer eine vermeintliche Fehlermeldung im Browser angezeigt. Um den Fehler zu beheben, wird der Nutzer dazu verleitet, eine Tastenkombination zu drücken und ein bösartiges PowerShell-Skript direkt im Windows-Ausführen-Dialog auszuführen. Dadurch umgehen die Angreifer klassische Browser-Schutzmechanismen, da die Schadsoftware vom Nutzer selbst gestartet wird. Dies kann zur vollständigen Kompromittierung des gesamten Unternehmensnetzwerks führen.
IT-Administratoren sollten umgehend organisatorische und technische Schutzmaßnahmen ergreifen. Zunächst ist eine Sensibilisierung der Mitarbeiter essenziell: Nutzer müssen dringend darüber aufgeklärt werden, dass legitime Webseiten niemals dazu auffordern, Tastenkombinationen wie Windows-Taste + R zu drücken und ungesehenen Code aus der Zwischenablage auszuführen. Technisch sollte die Ausführung von PowerShell für Standardbenutzer restriktiv eingeschränkt oder über AppLocker-Richtlinien blockiert werden. Zudem empfiehlt es sich, den Download nicht freigegebener Software im Unternehmensnetzwerk generell über Web-Gateways zu sperren und stattdessen auf zentral geprüfte Software-Bereitstellungen zu setzen.
Die Kombination aus Suchmaschinenmanipulation und perfidem Social Engineering zeigt, wie gezielt Angreifer die Gutgläubigkeit von Anwendern im Arbeitsalltag ausnutzen. Nur eine Kombination aus technischer Zugriffskontrolle und kontinuierlichen Security-Awareness-Schulungen bietet einen wirksamen Schutz gegen diese neue Welle der Infektionswege.
Quelle: BleepingComputer