Ausgangspunkt der Kampagne war eine gesponserte Google-Anzeige zum Suchbegriff „amazon business". Die Anzeige führte auf die auffällige Domain orders-amazon[.]com[.]advancedfences[.]com, von der aus eine Weiterleitung auf eine gefälschte Amazon-Anmeldeseite erfolgte. Diese Seite lag in einem privaten Speicherbereich von Google Sites. Nutzer wurden zunächst aufgefordert, E-Mail-Adresse oder Telefonnummer einzugeben; erst danach erschien das gefälschte CAPTCHA, auf dem ClickFix-Angriffe üblicherweise aufbauen. Google hat die schädliche Anzeige inzwischen entfernt, die Infrastruktur der Angreifer ist nach Angaben der Forscher jedoch weiterhin online und funktionsfähig — dabei greifen die Täter bevorzugt auf eine wachsende Liste von Domainnamen mit Grill- beziehungsweise Barbecue-Bezug zurück.
Die eigentliche Besonderheit setzt ein, sobald das Opfer mit dem CAPTCHA interagiert: Ein finger-Befehl stößt eine mehrstufige Kette an. finger.exe ruft eine remote.plan-Datei ab, es folgen die Installation von IronPython, mehrere verschleierte Loader, ein mutmaßliches Lumma-Stealer-Sample und ein versteckter NetSupport Client. Bei der RMM-Software handelt es sich um eine raubkopierte Version.
„Der Unterschied liegt hier in der Tiefe der Kette", sagte Sarah Reddish, Security Operations Analyst bei Huntress. Statt direkt von der Nutzeraktion zu einer einzigen Schadkomponente zu führen, zeige der Fall, wie sich ClickFix „von einem simplen Nutzertrick zu einem modularen Auslieferungsweg für mehrere Payloads" entwickle, der die Untersuchung für Analysten erschweren solle.
ClickFix ist seit dem Auftauchen der Technik im Jahr 2024 zu einer bevorzugten Methode von Angreifern geworden, und auch der Missbrauch legitimer Dienste ist aus früheren Kampagnen bekannt. finger ist für Angreifer attraktiv, weil das Werkzeug auf vielen Systemen noch vorhanden ist, „aber kaum ein Nutzer oder Verteidiger damit rechnet, es zu sehen", so Reddish. „‘Alt’ bedeutet nicht ‘irrelevant’." Im konkreten Fall habe finger vom Angreifer kontrollierten Text aus einer remote.plan-Datei geholt und den Angriff unauffällig an die nächste Stufe übergeben.
Spike Brandt, Principal Threat Intelligence Incident Commander bei Huntress, verweist auf die Tarnwirkung: Das Werkzeug nutze eine feste TCP/IP-Portnummer, sei aber nicht Proxy-fähig; Firewalls, Netzwerkfilter oder DLP-Werkzeuge ignorierten den Verkehr auf diesem Port möglicherweise, weil er so ungewöhnlich sei. Derselbe Einstiegspunkt könne laut Reddish zur Installation ganz unterschiedlicher Schadsoftware führen — Infostealer, RAT, Ransomware oder Fernwartungssoftware.
Der Fall steht für einen Trend, den die Huntress-Analysten bei ClickFix-Aktivitäten beobachten: Angreifer kombinieren legitime Dienste und Systemwerkzeuge mit „vertrauenswürdigen Marken, gesponserten Anzeigen, eingebauten Dienstprogrammen, modularen Payloads und plattformspezifischen Ködern", um sich stärker in legitime Online-Aktivität einzufügen. ClickFix machte in diesem Jahr bislang rund 2,2 Prozent der Erkennungssignale von Huntress Managed EDR aus; knapp 99 Prozent dieser Erkennungen waren von hohem Schweregrad.
Gegen Living-off-the-Land-Techniken empfiehlt Brandt, legitime Werkzeuge zu inventarisieren, die häufig — oder eben selten — von Angreifern missbraucht werden, alles ohne geschäftlichen Zweck zu deaktivieren und zu alarmieren, wenn selten genutzte Dienstprogramme plötzlich in nutzergetriebenen Ausführungsketten auftauchen.
Konkret nennt Reddish folgende Maßnahmen:
- ausgehenden Verkehr auf TCP/79 überwachen oder blockieren
- bei unerwarteter finger.exe-Aktivität alarmieren
- den Ausführen-Dialog soweit möglich einschränken
- auf ungewöhnliches Ablegen von Dateien unter C:\ProgramData achten
- versteckte NetSupport-Aktivität und unübliche Ports wie TCP/725 beobachten
Als allgemeine Regel gegen ClickFix solle Anwendern vermittelt werden, „dass kein legitimes CAPTCHA von ihnen verlangt, einen Befehl in Ausführen, PowerShell oder die Eingabeaufforderung einzufügen" — genau dieser Vektor ist die Grundlage solcher Angriffe.