Security · 31.8.2026
Eine neue Variante der ClickFix-Kampagne namens TerminalFix verleitet Windows-Nutzer über manipulierte Webseiten zur Ausführung von Schadcode im Terminal.
Microsoft warnt vor einer neuen Schadsoftware-Kampagne namens „TerminalFix“, einer Variante der bekannten „ClickFix“-Angriffsmethode. Dabei nutzen die Angreifer kompromittierte Websites, um Besuchern gefälschte Cloudflare-CAPTCHA-Abfragen anzuzeigen. Die Opfer werden unter dem Vorwand einer Systemverifizierung dazu verleitet, bösartige PowerShell-Befehle in die Zwischenablage zu kopieren und manuell in ihrem Windows-Terminal auszuführen.
Diese Social-Engineering-Methode hebelt klassische Web-Sicherheitsfilter aus, da die Schadwirkung nicht durch einen direkten Dateidownload, sondern durch die Interaktion des Nutzers im lokalen System initiiert wird. Nach der Ausführung des PowerShell-Skripts installieren die Angreifer Reverse-Tunnel auf den Systemen. Damit umgehen sie lokale Firewalls und erhalten dauerhaften Fernzugriff auf die betroffene Infrastruktur. Für Unternehmen im DACH-Raum stellt dies ein erhebliches Risiko dar: Da Administratoren und Mitarbeiter im Arbeitsalltag ständig mit CAPTCHAs konfrontiert werden, ist die Hemmschwelle für diesen Trick besorgniserregend niedrig. Ein erfolgreicher Einbruch kann als Einfallstor für Ransomware-Angriffe oder Spionage im gesamten Firmennetzwerk dienen.
IT-Verantwortliche und Systemadministratoren müssen umgehend präventive Schutzmaßnahmen ergreifen. Die wichtigste technische Barriere ist die Einschränkung von PowerShell-Berechtigungen über Gruppenrichtlinien (GPOs). Die Ausführungsrichtlinie (Execution Policy) sollte im Unternehmen restriktiv konfiguriert werden, um das unbefugte Ausführen unsignierter Skripte zu blockieren. Zudem sollten EDR-Systeme (Endpoint Detection and Response) so eingestellt sein, dass sie ungewöhnliche Terminal-Aktivitäten sowie verdächtige ausgehende Verbindungen sofort blockieren. Flankierend ist eine gezielte Sensibilisierung der Mitarbeiter notwendig: Nutzer müssen angewiesen werden, niemals Tastaturkombinationen auf Anweisung einer Website auszuführen oder kopierten Code blind in die Eingabeaufforderung einzufügen.
Die TerminalFix-Kampagne verdeutlicht, dass Angreifer vermehrt auf die Manipulation des Nutzers setzen, um technische Hürden zu umgehen. Nur eine Kombination aus restriktiven Systemrechten, engmaschiger Endpoint-Überwachung und kontinuierlicher Aufklärung kann diese Bedrohung effektiv eindämmen.
Quelle: BleepingComputer