ClickFix-Angriffe: Platzhalter-Domain third-party.com liefert Schadcode aus

Security · 23.9.2026

Die häufig in Entwicklerdokumentationen genutzte Platzhalter-Domain third-party.com wird aktuell für ClickFix-Kampagnen missbraucht, um Schadsoftware auf Windows-Systeme zu schleusen.

Die bekannte Platzhalter-Domain "third-party.com", die in zahlreichen Entwicklerdokumentationen und Codebeispielen als Platzhalter verwendet wird, wurde von Cyberkriminellen übernommen. Sie dient nun als Plattform für sogenannte ClickFix-Angriffe, bei denen Besucher mit einer gefälschten Cloudflare-Verifikationsseite konfrontiert werden. Das Ziel ist es, Windows-Nutzer durch Social Engineering dazu zu verleiten, bösartige PowerShell-Befehle manuell in die Windows-Eingabeaufforderung zu kopieren und auszuführen.

Warum ist das wichtig?

Diese Methode ist besonders tückisch, da "third-party.com" in vielen IT-Abteilungen und bei Entwicklern als harmlose Standard-Domain gilt, die oft ungeprüft in Dokumentationen oder internen Wikis aufgerufen wird. Für Unternehmen im DACH-Raum stellt dies ein erhebliches Sicherheitsrisiko dar. Die gefälschten Fehlermeldungen fordern den Nutzer auf, eine Tastenkombination (Windows-Taste + R) zu drücken, den kopierten Befehl einzufügen und mit der Eingabetaste zu bestätigen, um ein vermeintliches Zertifikatsproblem zu lösen. Da dieser Befehl im Kontext des lokalen Benutzers ausgeführt wird, können Angreifer Schadsoftware wie Lumma Stealer oder andere Trojaner direkt auf den Endgeräten installieren. IT-Verantwortliche müssen damit rechnen, dass auch geschulte Mitarbeiter auf diese technisch echt wirkenden Cloudflare-Imitationen hereinfallen, da der Ablauf wie eine legitime Systemreparatur inszeniert wird.

Was Nutzer jetzt tun sollten

Um sich vor dieser Bedrohung zu schützen, sollten Administratoren und Sicherheitsverantwortliche umgehend folgende Maßnahmen ergreifen:

• Domain-Sperre einrichten: Blockieren Sie den Zugriff auf die Domain "third-party.com" im gesamten Unternehmensnetzwerk über DNS-Filter oder Web-Gateways.
• Mitarbeiter sensibilisieren: Schulen Sie Ihr Team dahingehend, dass keine externen Webseiten dazu auffordern dürfen, Befehle in die Windows-Kommandozeile (PowerShell oder CMD) zu kopieren. Solche Aufforderungen sind immer ein Zeichen für einen Angriffsversuch.
• PowerShell-Einschränkungen prüfen: Beschränken Sie die Ausführung von PowerShell-Skripten über Gruppenrichtlinien (AppLocker oder Constrained Language Mode), um die unbefugte Ausführung von Code durch Standardbenutzer zu verhindern.
• Verwendung von Standards anmahnen: Entwickler sollten darauf hingewiesen werden, ausschließlich die offiziell von der IANA reservierten Test-Domains wie "example.com" oder "example.org" in ihren Codebeispielen und Dokumentationen zu verwenden.

Fazit

Der Missbrauch vertrauter Platzhalter-Domains zeigt, wie kreativ Angreifer bestehende Gewohnheiten im IT-Sektor ausnutzen. Ein proaktives Sperren der betroffenen Domain und restriktive Windows-Sicherheitseinstellungen sind jetzt der beste Schutz für Unternehmensnetzwerke.

Quelle: BleepingComputer