Security · 30.8.2026
Eine neue Variante der ClickFix-Methode missbraucht Windows Terminal und PowerShell, um Systeme unbemerkt mit einer Hintertür zu infizieren.
Eine neue Malware-Kampagne namens „TerminalFix“ nutzt manipulierte Cloudflare-CAPTCHAs, um Schadcode direkt auf Windows-Systemen auszuführen. Im Gegensatz zu älteren ClickFix-Varianten, die oft auf den Windows-Ausführen-Dialog setzten, zielt diese Kampagne gezielt auf das Windows Terminal und die PowerShell ab. Microsoft warnt vor der Methode, bei der Anwender durch Social Engineering dazu verleitet werden, gefährliche Befehle manuell in die Kommandozeile zu kopieren.
Diese Angriffsmethode ist besonders für IT-Abteilungen und Administratoren im DACH-Raum besorgniserregend. Da die gefälschten Fehlermeldungen und CAPTCHA-Aufforderungen täuschend echt aussehen, können selbst sensibilisierte Mitarbeiter darauf hereinfallen. Sobald der Nutzer den bereitgestellten PowerShell-Befehl kopiert und ausführt, wird im Hintergrund ein sogenannter Reverse-Tunnel etabliert. Dies ermöglicht den Angreifern, Sicherheitsmechanismen wie Firewalls oder Network Address Translation (NAT) zu umgehen. Dadurch erlangen sie dauerhaften Zugriff auf das System und können im Unternehmensnetzwerk lateral navigieren, sensible Daten stehlen oder Ransomware platzieren. Besonders kritisch ist, dass der Schadcode durch den legitimen Windows-Sicherheitskontext der PowerShell ausgeführt wird, was die Erkennung durch herkömmliche Antiviren-Software erschwert.
Unternehmen und IT-Verantwortliche sollten umgehend präventive Maßnahmen ergreifen:
TerminalFix zeigt eindringlich, dass Angreifer vermehrt auf das Prinzip setzen, legitime Systemwerkzeuge für ihre Zwecke zu missbrauchen. IT-Verantwortliche müssen neben technischen Barrieren vor allem das Sicherheitsbewusstsein der Belegschaft schärfen, da der Erfolg dieses Angriffs maßgeblich von der Interaktion des Benutzers abhängt.
Quelle: The Hacker News