Sandworm nutzt Fake-CAPTCHAs: Zehn kompromittierte Websites entdeckt

Cyberkriminelle setzen Berichten zufolge verstärkt auf manipulierte Sicherheitsabfragen, um Schadsoftware auf die Computer von Internetnutzern zu schleusen. Bei dieser als ClickFix bekannten Angriffsmethode täuschen die Täter eine reguläre Sicherheitsüberprüfung vor und bringen die Betroffenen dazu, schädliche Befehle manuell auf dem eigenen Betriebssystem auszuführen.

Trick über den Windows-Ausführen-Dialog

Der Angriffsablauf beginnt typischerweise mit einer vermeintlichen Überprüfung durch etablierte Schutzsysteme wie ReCAPTCHA oder Cloudflare. Nach einem Klick auf die gefälschte Abfrage wird den Nutzern eine angebliche Fehlermeldung angezeigt. Diese weist die Opfer an, über die Tastenkombination aus Windows-Taste und R das Ausführen-Fenster des Betriebssystems zu öffnen, anschließend den Inhalt der Zwischenablage mit der Tastenkombination Strg und V einzufügen und den Vorgang mit der Enter-Taste zu bestätigen.

Durch diesen Ablauf wird ein im Hintergrund unbemerkt in die Zwischenablage kopiertes Skript gestartet. Dieser Befehl aktiviert eine sogenannte Info-Stealer-Malware, die sich direkt auf dem System einnistet. Eine besondere Gefahr besteht darin, dass die eingesetzte Schadsoftware für gängige Antivirenprogramme häufig unsichtbar bleibt und Sicherheitsprüfungen umgeht.

Weitreichender Diebstahl persönlicher Zugangsdaten

Ziel der Angreifer ist das unbemerkte Ausspähen sensibler Informationen. Die Schadsoftware zielt auf gespeicherte Zugangsdaten in Webbrowsern ab und greift Online-Banking-Daten sowie Kredit- und Debitkartendaten ab.

Wer sich vor solchen manipulierten Zugriffen auf sensible Bankdaten schützen möchte, sollte die grundlegenden Sicherheitsmechanismen seines Systems kennen. Dieser kostenlose Ratgeber zeigt Ihnen 5 einfache Schritte, mit denen Sie Ihre digitalen Anwendungen sofort besser absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Ebenso entwenden die Programme Anmeldedaten für Social-Media-Konten wie Facebook oder Dienste wie Gmail. Zudem haben es die Angreifer auf digitale Krypto-Wallets und persönliche Dateien abgesehen, die auf den kompromittierten Systemen abgelegt sind.

Einsatz durch Spionagegruppen und offizielle Warnungen

Die Methode wird nicht nur im Bereich der organisierten Finanzkriminalität eingesetzt. Auch die russische Gruppierung Sandworm, die dem Militärgeheimdienst GRU zugerechnet wird, nutzt gefälschte CAPTCHAs, um Anwender zum Kopieren und Einfügen von Textzeilen zu verleiten und so Schadprogramme zu installieren.

Zu den Zielen der Gruppe gehört unter anderem die Ukraine. Ukrainische Behörden konnten zehn kompromittierte Websites identifizieren, die einen PowerShell-Befehl in Form eines solchen gefälschten CAPTCHA-Tests anzeigten. Sandworm setzt dabei maßgeschneiderte Softwarepakete wie FreakyPoll ein, um infizierte Systeme aufzuklären.

Vor der Bedrohung durch die ClickFix-Taktik warnen auch Ermittlungsbehörden wie die Jammu-Kashmir-Polizei, die Anwendern dringend dazu rät, keinerlei verdächtige Befehlsfolgen auf ihren Geräten auszuführen.

Da Kriminelle immer häufiger versuchen, über das Internet installierte Apps und Dienste auszuspähen, ist ein proaktiver Schutz der eigenen Geräte unerlässlich. In diesem kostenfreien PDF-Leitfaden erfahren Sie, wie Sie Hacker-Angriffe abwehren und Ihre privaten Daten wirksam vor Missbrauch schützen. Kostenlosen Sicherheits-Ratgeber jetzt herunterladen

Verhaltensregeln und Schutzmaßnahmen

Sicherheitsexperten weisen darauf hin, dass legitime CAPTCHA-Systeme niemals dazu auffordern, den Windows-Ausführen-Dialog zu öffnen, externen Code zu kopieren, Befehle einzufügen oder Software herunterzuladen. Tauchen derartige Anweisungen im Browser auf, handelt es sich stets um einen Angriffsversuch.

Besteht der Verdacht, dass eine solche Schadsoftware bereits ausgeführt wurde, wird zu schnellem Handeln geraten: Die Internetverbindung des Geräts sollte umgehend getrennt und alle geöffneten Browser-Tabs sollten geschlossen werden. Danach empfiehlt sich ein vollständiger Suchlauf mit einem Antivirenprogramm. Betroffene sollten zudem sämtliche Passwörter ändern – dies muss zwingend über ein separates, nachweislich sicheres Gerät geschehen.