In dieser Woche informiert das Cyber Threat Intelligence (CTI)-Team von Tanium über den aktuellen Stand zu drei neu auftretenden Bedrohungen. Zunächst untersuchen wir die rasante Entwicklung einer browserbasierten Bedrohung namens „ClickFix“. Als Nächstes untersuchen wir, inwiefern Spitzen bei böswilligen Aktivitäten häufig der Offenlegung von Sicherheitslücken vorausgehen. Abschließend werfen wir einen genaueren Blick auf eine vietnamesischsprachige Hackergruppe, die hinter einer weltweiten „PXA Stealer“-Kampagne steht.
Die „ClickFix“-Kampagne missbraucht CAPTCHAs zur heimlichen Verbreitung von Malware
Ein aktueller Bericht von Guardio Labs unter befasst sich mit der rasanten Entwicklung einer browserbasierten Bedrohung namens „ClickFix“. Bei diesem Angriff werden gefälschte CAPTCHA-Overlays verwendet, um Nutzer dazu zu verleiten, bösartige PowerShell-Befehle auszuführen, die in ihre Zwischenablage kopiert wurden; auf diese Weise wird die herkömmliche, auf Downloads basierende Verbreitung von Malware umgangen.
ClickFix löst ältere Taktiken wie „ “, „ClearFake“ ab und verbreitet sich über kompromittierte Websites, Malvertising sowie Phishing-Kampagnen unter dem Deckmantel bekannter Marken , um Malware zum Diebstahl von Zugangsdaten zu verbreiten.
Guardio führt seinen Erfolg auf immer ausgefeiltere Narrative und fortschrittliche Umgehungstechniken zurück, die die Erkennung und Prävention erschweren.
Von gefälschten Updates bis hin zu Angriffen über die Zwischenablage
Die Untersuchungen von Guardio beginnen mit „ClearFake“, einer Kampagne, die Anfang 2024 aktiv war und bei der kompromittierte WordPress-Websites genutzt wurden, um gefälschte Benachrichtigungen über Browser-Updates zu verbreiten. Diese Updates wirkten zwar seriös, wurden jedoch in Wirklichkeit dazu genutzt, über die Malware „Lumma Stealer“ zu verbreiten:.
Auf dieser Taktik aufbauend tauchte kurz darauf ClickFix als weiterentwickelte Variante auf, die von dateibasierten Payloads abrückte und stattdessen betrügerische CAPTCHA-Seiten nutzte, um bösartige, auf der Zwischenablage basierende Befehle auszuführen.
Interessanterweise entstand das Konzept des gefälschten CAPTCHA ursprünglich nicht als böswillige Taktik – es wurde zunächst als Simulationswerkzeug für das „Red Team“ eingeführt, das für Sicherheitsschulungen konzipiert war. Doch wie viele legitime Techniken wurde auch diese schnell von Angreifern übernommen und für böswillige Zwecke missbraucht.
Die wachsende Reichweite von ClickFix
ClickFix verbreitete sich zunächst über Werbenetzwerke und Malvertising und nutzte dabei eine breite Reichweite, um ahnungslose Nutzer zu erreichen. Da die Angreifer jedoch nach wertvolleren Zielen suchten, änderten sie ihre Taktik – sie bauten CAPTCHA-Payloads in kompromittierte, legitime Websites ein, denen die Nutzer bereits vertrauten.
Von dort aus breitete sich die Kampagne auf soziale Medien und Entwicklerplattformen aus, wo gefälschte Profile nun die Kommentarbereiche mit irreführenden Empfehlungen und Links zu schädlichen Downloads mit Spam überschwemmen.
Intelligenteres Social Engineering durch vertrautes Design
Im Zuge der Weiterentwicklung von ClickFix haben sich auch dessen visuelle Strategien weiterentwickelt. Während frühere Versionen Googles reCAPTCHA nachahmten, orientiert sich die Kampagne nun an anderen bekannten Herausforderungen wie Cloudflare, um ihre Glaubwürdigkeit zu wahren.
Durch die Kombination dieser irreführenden Einblendungen mit Dringlichkeitssignalen und realistisch gestalteten Markenelementen gestalten die Angreifer die Social-Engineering- „ “ noch überzeugender und erhöhen die Wahrscheinlichkeit einer Interaktion seitens der Nutzer erheblich.
Technische Fortschritte und plattformübergreifende Nutzdaten
Über Social Engineering hinaus ist ClickFix auch in technischer Hinsicht immer ausgefeilter geworden. Angreifer verschleiern mittlerweile Befehle, nutzen das dynamische Laden von Skripten, verbergen Links mithilfe von URL-Kürzern und betten Schadcode in scheinbar legitime Dateiquellen ein.
Seit dem Juni 2025 nutzen sie zudem die Google Scripts-Plattform, um gefälschte CAPTCHA-Seiten zu hosten – dabei machen sie sich den vertrauenswürdigen Ruf der Plattform zunutze, um das Misstrauen der Nutzer zu umgehen. Inzwischen haben sich die Schadcodes so weiterentwickelt, dass sie plattformübergreifend eingesetzt werden können und nun Windows, macOS und Linux angreifen können.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die ClickFix-Bedrohung gewinnt weiterhin rasch an Popularität und verdeutlicht damit die zunehmende Raffinesse von Social Engineering sowie den wachsenden Trend zur Ausnutzung von Nutzern.
Dieser Wandel von der Ausführung dateibasierter Malware hin zur Ausführung von Malware über die Zwischenablage stellt zudem eine bedeutende Weiterentwicklung hinsichtlich der Verbreitung von Bedrohungen dar, weshalb es für Sicherheitsteams von entscheidender Bedeutung ist, sowohl das Nutzerverhalten als auch die Aktivitäten in der Zwischenablage genauer zu überwachen.
Guardio macht uns deutlich, dass Techniken wie diese, die echte Benutzerabläufe nachahmen, zunehmend gefährlicher werden und mit größerer Wahrscheinlichkeit zum Erfolg führen.
Böswillige Aktivitäten gehen häufig der Veröffentlichung von CVE-Informationen voraus
Die neueste Analyse von GreyNoise „“ deckt einen auffälligen Trend auf: Das Verhalten von Angreifern intensiviert sich häufig in den Wochen vor der öffentlichen Bekanntgabe neuer Sicherheitslücken. Der Bericht identifiziert wiederkehrende Muster bei Aktivitäten vor der Offenlegung und hebt hervor, wie eine frühzeitige Erkennung es den Verantwortlichen ermöglicht, das Risiko durch neu auftretende Bedrohungen proaktiv zu verringern.
Können Angriffsspitzen auf drohende Sicherheitslücken hindeuten?
GreyNoise stellte eindeutige Muster böswilliger Aktivitäten fest – wie beispielsweise Scans, Brute-Force-Angriffe und Ausnutzung von Sicherheitslücken –, die auf Technologien abzielten, bei denen später Sicherheitslücken festgestellt wurden.
Durch die Konzentration auf Edge-Technologien und CVEs mit einem CVSS-Wert von 6 oder höher gelang es den Forschern, dieses Muster zu quantifizieren und aufzuzeigen, dass das Interesse der Angreifer häufig den Bekanntgaben von Sicherheitslücken vorausgeht.
Das Muster aufzeigen: Von der Aktivität bis zur Offenlegung
Um diese Hypothese zu überprüfen, analysierte GreyNoise das Verhalten von Angreifern anhand von Tags, die mit Edge-Technologien in Verbindung stehen. Bei diesen Tags handelt es sich um signaturbasierte Kennungen, die von GreyNoise zur Klassifizierung und Verfolgung von Mustern im internetweiten Scan- und Angriffsverkehr verwendet werden. Sie umfassen Kategorien wie Scanner, Crawler, Brute-Force-Tools, Exploit-Versuche und bekannte CVE-Zuordnungen – insbesondere solche, die auf Edge-Technologien wie VPNs, Firewalls und Fernzugriffstools abzielen.
Nach der Filterung auf aussagekräftige Daten identifizierte das Team 216 statistisch signifikante Spitzenwerte bei der Angreiferaktivität, beginnend am September 2024. Jeder Spitzenwert wurde anschließend einer neu veröffentlichten CVE zugeordnet, die dieselbe Technologie oder dasselbe Produkt betraf.
Insbesondere betrafen alle identifizierten CVEs Edge-Technologien von acht Anbietern für Unternehmenslösungen: Cisco, Citrix, Fortinet, Ivanti, Juniper, MikroTik, Palo Alto und SonicWall.
Das Verhalten des Angreifers als prädiktives Signal
GreyNoise stellte fest, dass Spitzen bei den Angreiferaktivitäten in der Regel 3 bis 6 Wochen vor der Veröffentlichung von CVE-Meldungen auftraten – wobei 50 % bereits 3 Wochen zuvor und 80 % innerhalb von 6 Wochen zu verzeichnen waren.
In dem Bericht wurde zudem untersucht, wie Angreifer im Vorfeld neuer Bekanntgaben möglicherweise ältere Sicherheitslücken erneut ausnutzen – was auf eine gezielte, strategische Vorgehensweise bei der Ausnutzung hindeutet. In mehreren Fällen beobachtete GreyNoise kurz vor der Bekanntgabe neuerer Sicherheitslücken, die dasselbe Produkt betrafen, Aktivitätsspitzen im Zusammenhang mit älteren CVEs, wie beispielsweise Cisco CVE-2011-3315.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Forschungsergebnisse von GreyNoise helfen uns zu verstehen, wie wichtig es ist, Angriffsmuster generell zu erkennen, insbesondere da diese Muster mit der Offenlegung von Sicherheitslücken in Zusammenhang stehen. Dies erfordert einen Wechsel von reaktiven zu proaktiven Strategien, um böswillige Aktivitäten als Vorboten von Sicherheitslücken zu erkennen.
Diese Untersuchung bestätigt zudem, dass die herkömmlichen Patch-Zyklen oft zu langsam sind. Die Tatsache, dass das Verhalten von Angreifern häufig der Offenlegung von Sicherheitslücken vorausgeht, deutet darauf hin, dass möglicherweise ein anderer Ansatz zum Schutz vor Sicherheitslücken erforderlich ist. Die Priorisierung von Sicherheitslücken sollte sich nicht nur nach dem Schweregrad und der Relevanz für das Unternehmen richten, sondern auch nach dem festgestellten Interesse der Angreifer.
Der Bericht von GreyNoise enthält zudem einige hilfreiche Empfehlungen für die Verteidiger.
Mit Telegram in Verbindung stehende Hackergruppe startet weltweite „PXA Stealer“-Kampagne
Eine vietnamesischsprachige Hackergruppe hat eine groß angelegte Kampagne zum Diebstahl von Daten gestartet, bei der „PXA Stealer“, eine auf Python basierende Malware, zum Einsatz kommt. Eine gemeinsame Untersuchung von SentinelOne und Beazley Security hat ergeben, dass im Rahmen dieser Aktion mehr als 200 000 Passwörter, Hunderte von Kreditkartendaten und über 4 Millionen Browser-Cookies gestohlen wurden.
Ein mehrere Bundesstaaten umfassender Malware-Betrieb, der mit einem auf Telegram basierenden Marktplatz für Cyberkriminalität in Verbindung steht
Die Kampagne, die erstmals Ende 2024 beobachtet wurde, hat sich zu einer ausgeklügelten, mehrstufigen Operation entwickelt. SentinelOne und Beazley Security haben dessen Verbindung zu einem auf Telegram basierenden Marktplatz aufgedeckt, über den der Verkauf gestohlener Opferdaten abgewickelt wird.
Zu den wichtigsten Vorgehensweisen zählen das Sideloading bösartiger DLLs über signierte Software wie den Haihaisoft PDF Reader sowie das Einbetten von Malware in Archive, die als gängige Dateiformate getarnt sind. Die endgültige Schadsoftware – „PXA Stealer“ – entwendet sensible Daten, die von Passwörtern bis hin zu Einträgen in der automatischen Ausfüllfunktion des Browsers reichen.
Sideloading über Haihaisoft und die Umstellung der Infrastruktur
Seit Ende 2024 verfolgen Forscher die kontinuierliche Weiterentwicklung der Sideloading-Techniken durch den Akteur sowie Änderungen an dessen Command-and-Control-Infrastruktur (C2).
Eine bemerkenswerte Taktik, die bei „ April 2025 “ beobachtet wurde, besteht darin, die Opfer durch Phishing dazu zu verleiten, ein komprimiertes Archiv herunterzuladen, das eine signierte Version des Haihaisoft PDF Reader zusammen mit einer schädlichen DLL enthält. Nach ihrer Ausführung stellte die DLL eine dauerhafte Präsenz her und lud zusätzliche, auf Dropbox gehostete Payloads herunter.
Diese Phase markierte zudem einen strategischen Wandel hinsichtlich der von den Akteuren eingesetzten Werkzeuge: Die Abkehr von herkömmlichen Windows-Ausführungsdateien zugunsten von Python-basierten Payloads – eine Veränderung, die auf die Absicht hindeutet, die Modularität zu erhöhen und das Erkennungsrisiko zu verringern.
Neue Variante führt eine ausgeklügelte, auf Archiven basierende Infektionskette ein
Eine von Beazley Security beobachtete Variante von „ Juli 2025 “ wies ausgefeiltere Vorgehensweisen auf. Der Köder umfasste eine signierte ausführbare Datei von „Microsoft Word 2013 “, eine per Sideloading eingebundene DLL sowie ein Verzeichnis mit dem Namen „-“ mit weiteren Schadcodes.
Den Opfern wurde ein Scheindokument angezeigt, das auf Urheberrechtsverletzungen hinwies, während eine versteckte Eingabeaufforderung den Befehl „ certutil “ ausführte, um ein getarntes Python-Skript mit dem Namen „images.png“ zu entschlüsseln.
Telegram-Bots und Cloudflare-Relays begünstigen Datendiebstahl
Die endgültige Nutzlast, „PXA Stealer“, wird häufig von vietnamesischsprachigen Angreifern eingesetzt. Die Malware sammelt und leitet Daten über Telegram-Bot-IDs weiter, wobei sie insbesondere auf Browser, Daten aus der automatischen Ausfüllfunktion, Authentifizierungstoken und den anwendungsgebundenen Verschlüsselungsschlüssel von Chrome abzielt. Zudem sammelt es Dateien aus Desktop-Krypto-Wallets, VPN-Clients, Cloud-Diensten und Dateifreigaben.
Die gestohlenen Daten werden in ZIP-Dateien gepackt und über Telegram-Bots mithilfe von Cloudflare-Worker-Relays versendet. Der Bericht enthält unter eine detaillierte Aufschlüsselung der angegriffenen Anwendungen unter sowie der Missbrauchsinfrastruktur von Telegram.
Viktimologie: Globale Reichweite bei gezielter Ausrichtung
Die Analyse der aktiven Bot-IDs im Zusammenhang mit der PXA-Stealer-Kampagne ergab über 4 000 einzelne Opfer. Zu den am häufigsten betroffenen Regionen zählen die Republik Korea, die USA und die Niederlande.
Analystenkommentare des Cyber Threat Intelligence-Teams von Tanium
Die Protokolle des PXA Stealer weisen darauf hin, dass 62 verschiedene Länder ins Visier genommen wurden, was deutlich macht, dass Cyberkriminalität zunehmend grenzenlos ist. Dies erschwert die Zuordnung, wenn Angreifer eine globale Infrastruktur nutzen, um eine derart breite Palette von Opfern ins Visier zu nehmen.
Die vom PXA Stealer gestohlenen Daten werden – wie dies auch bei vielen anderen durch Infostealer erbeuteten Daten der Fall ist – über Telegram-Marktplätze weiterverkauft, was verdeutlicht, wie die Cyberkriminalität zunehmend zu einer Massenware wird, bei der Protokolle wie Warenbestände behandelt werden.
Wie der Bericht hervorhebt, handelt es sich hierbei um ein weiteres Paradebeispiel dafür, wie Angreifer legitime Infrastruktur nutzen, um böswillige Aktivitäten durchzuführen. Dies macht deutlich, wie wichtig die Erkennung von verdächtigem Verhalten ist.
Haben Sie Einblicke in diese Geschichten, die Sie gerne weitergeben möchten? Besuchen Sie das Tanium-Diskussionsforum unter, um eine Diskussion zu starten.
Wenn Sie sich weiter informieren möchten, lesen Sie unsere aktuellen Zusammenfassungen zu Cyber-Bedrohungsinformationen von unter.
