Gefälschte CAPTCHA-Angriffe: Wie ClickFix-Malware das Vertrauen der Nutzer ausnutzt und wie Sie sich schützen können

Die Zunahme gefälschter CAPTCHA-Malware-Angriffe verstehen

CAPTCHA-Systeme – die bekannten Rätsel, bei denen man verzerrte Buchstaben erkennen oder bestimmte Bilder auswählen soll – sind ein Grundpfeiler der Online-Sicherheit. Sie sollen Menschen von Bots unterscheiden und Websites vor Spam, automatisiertem Missbrauch und dem massenhaften Ausprobieren gestohlener Zugangsdaten schützen. Doch je verbreiteter diese Systeme geworden sind, desto besser wissen Cyberkriminelle das Vertrauen der Nutzer in CAPTCHAs auszunutzen. So entstand eine neue, besonders wirksame Form des Social Engineering: gefälschte CAPTCHA-Malware-Kampagnen, die vor allem die Methode ClickFix nutzen.

Dieser Artikel erklärt, wie gefälschte CAPTCHA-Angriffe ablaufen, welche technischen und psychologischen Tricks dahinterstecken, welche Malware sie verbreiten – etwa Lumma Stealer – und wie sich Privatpersonen und Organisationen konkret schützen können.

Was ist ein gefälschter CAPTCHA-Angriff?

Bei einem gefälschten CAPTCHA-Angriff erstellen Cyberkriminelle eine Webseite oder ein Pop-up, das legitime CAPTCHA-Systeme wie Googles reCAPTCHA oder die Challenge-Seiten von Cloudflare möglichst genau nachahmt. Diese Fälschungen sind so überzeugend, dass selbst erfahrene Nutzer den Betrug möglicherweise nicht bemerken. Typischerweise läuft der Angriff so ab:

• Das Opfer wird auf eine schädliche Website gelockt, oft über Phishing-E-Mails, gefälschte Anzeigen oder kompromittierte legitime Websites.
• Die Website zeigt ein gefälschtes CAPTCHA an und fordert den Nutzer auf, zu beweisen, dass er kein Roboter ist.
• Nach der Interaktion mit dem CAPTCHA erhält der Nutzer weitere Anweisungen – etwa, einen Befehl zu kopieren und in den Ausführen-Dialog oder das Terminal des Computers einzufügen.
• Wer diese Anweisungen befolgt, führt dadurch schädlichen Code aus, der das Gerät mit Malware infiziert.

Diese Methode ist besonders heimtückisch, weil sie die Nutzer dazu bringt, selbst Sicherheitsvorkehrungen zu umgehen. Dadurch sind Erkennung und Abwehr schwieriger.

ClickFix: Die Social-Engineering-Methode hinter dem Angriff

Der Begriff ClickFix bezeichnet eine Social-Engineering-Technik, die Nutzer dazu verleitet, selbst schädliche Befehle auszuführen. Anders als herkömmliche Malware, die Sicherheitslücken in Software ausnutzt oder Nutzer zum Herunterladen infizierter Dateien verleitet, bringt ClickFix sie dazu, Befehle auszuführen, die Malware installieren – oft in scheinbar harmlosen Schritten.

Ein gefälschtes CAPTCHA kann den Nutzer zum Beispiel auffordern:

• Mit Windows-Taste + R den Ausführen-Dialog zu öffnen.
• Einen bereitgestellten Befehl einzufügen (oft ein PowerShell- oder mshta.exe-Skript).
• Mit Eingabe den Befehl auszuführen.

Diese Schritte wirken wie ein normaler Verifizierungsprozess, führen aber tatsächlich dazu, dass Malware wie Lumma Stealer, AsyncRAT oder andere Trojaner zum Ausspähen von Informationen heruntergeladen und ausgeführt wird.

So verbreiten sich gefälschte CAPTCHA-Angriffe: Beispiele aus der Praxis

Gefälschte CAPTCHA-Angriffe wurden in verschiedenen Zusammenhängen beobachtet und richten sich weltweit gegen Privatpersonen und Organisationen. Zu den bekannten Kampagnen zählen:

• Phishing im Namen von Booking.com: Angreifer gaben sich als das beliebte Hotelbuchungsportal aus und verschickten Phishing-E-Mails, die Nutzer auf eine gefälschte Booking.com-Seite mit einem nachgemachten CAPTCHA führten. Wer den Anweisungen folgte, installierte Malware, die Zugangsdaten und persönliche Daten stahl.
• Schädliche Anzeigen und SEO-Manipulation: Cyberkriminelle nutzten Suchmaschinenoptimierung (SEO) und schädliche Anzeigen, um gefälschte Download-Seiten für beliebte Software, Musik oder Filme prominent zu platzieren. Diese Seiten zeigen vor der Infektion gefälschte CAPTCHAs an.
• Kompromittierte legitime Websites: Auch vertrauenswürdige Websites können kompromittiert werden, um gefälschte CAPTCHA-Pop-ups anzuzeigen und so den Angriff glaubwürdiger erscheinen zu lassen.

Nach Angaben des Sicherheitsunternehmens LAC wurden seit Ende 2024 in mehreren Kundenumgebungen Vorfälle mit ClickFix festgestellt. 2025 nahm ihre Zahl deutlich zu. Die Angriffe beschränken sich nicht auf Japan, sondern wurden auch aus den USA, Europa und Asien gemeldet. Betroffen sind Branchen von Telekommunikation und Gesundheitswesen bis hin zu Finanzwirtschaft und Gastgewerbe.

Warum sind diese Angriffe so erfolgreich?

Gefälschte CAPTCHA-Angriffe nutzen mehrere psychologische und technische Faktoren aus:

• Vertrautheit und Vertrauen: Nutzer sind an CAPTCHAs gewöhnt und hinterfragen ihre Echtheit nur selten.
• Ermüdung durch Routine: Häufige CAPTCHA-Abfragen können zu einer „Authentifizierungsmüdigkeit“ führen und die Aufmerksamkeit der Nutzer verringern.
• Social Engineering: Die Schritt-für-Schritt-Anweisungen werden als notwendige Verifizierung dargestellt, wodurch der Verdacht sinkt.
• Umgehung von Sicherheitsvorkehrungen: Da der Nutzer den Befehl selbst startet, können Sicherheitslösungen auf Endgeräten die Aktion als legitim einstufen. Das erschwert die Erkennung.

Die Malware hinter der Tarnung: Lumma Stealer und andere Schadprogramme

Eine der am häufigsten über gefälschte CAPTCHA-Angriffe verbreiteten Schadsoftware ist Lumma Stealer, eine Malware zum Ausspähen von Informationen (Infostealer), die seit ihrem Auftreten im Jahr 2022 bei Cyberkriminellen rasch an Beliebtheit gewonnen hat. Lumma Stealer wird in Darknet-Foren und Telegram-Kanälen verkauft, häufig als Malware-as-a-Service (MaaS). Dadurch steht die Software einem breiten Spektrum von Angreifern zur Verfügung.

Was macht Lumma Stealer?

Nach der Installation kann Lumma Stealer:

• Im Browser gespeicherte Passwörter und Cookies abgreifen.
• Zugangsdaten zu Kryptowährungs-Wallets stehlen (z. B. MetaMask, Binance).
• Daten zur Zwei-Faktor-Authentifizierung (2FA) und Browser-Erweiterungen auslesen.
• System- und Anwendungsdaten einschließlich Zugangsdaten für den Remote-Desktop sammeln.
• Dateien und vertrauliche Informationen an von Angreifern kontrollierte Server übertragen.

Zu den weiteren Schadsoftware-Familien, die bei diesen Kampagnen beobachtet wurden, zählen AsyncRAT, Vidar Stealer, XWorm und verschiedene Fernzugriffstrojaner (RATs). Die Infektionskette kann außerdem verschleierte Skripte, Bilddateien (.png, .gif) mit verstecktem Code und mehrstufige Schadsoftware-Payloads umfassen, um die Erkennung zu umgehen.

Technische Details: So läuft der Angriff ab

Sicherheitsforscher haben folgenden technischen Ablauf dokumentiert:

• Die gefälschte CAPTCHA-Seite wird geladen, oft über einen Phishing-Link oder eine schädliche Anzeige.
• Nach dem Lösen des CAPTCHAs wird der Nutzer aufgefordert, einen Befehl auszuführen (z. B. über den Ausführen-Dialog von Windows oder das macOS-Terminal).
• Der Befehl startet typischerweise PowerShell oder mshta.exe, um ein Skript von einem entfernten Server herunterzuladen und auszuführen.
• Das Skript lädt die Malware-Payload herunter (z. B. eine ZIP-Datei mit Lumma Stealer), die anschließend auf dem Gerät des Opfers ausgeführt wird.
• Die Malware beginnt mit der Übertragung von Daten, häufig über verschlüsselte HTTPS-Verbindungen, um der Überwachung des Netzwerkverkehrs zu entgehen.

Bei einigen Kampagnen wurde verschleiertes JavaScript in scheinbar harmlosen Dateien wie MP3s oder PDFs eingebettet, um den Angriff zusätzlich zu tarnen.

Globale Auswirkungen und bekannte Vorfälle

Gefälschte CAPTCHA-Angriffe haben weltweit zu erheblichen finanziellen Schäden und Datenverlusten geführt. Laut Gen Digital (dem Mutterkonzern von Norton und Avast) nahmen Phishing- und Malware-Angriffe mit gefälschten CAPTCHAs in Japan 2024 um mehr als 600 Prozent zu. Ähnliche Entwicklungen wurden weltweit beobachtet. Die gemeldeten Gesamtschäden durch solche Angriffe belaufen sich auf Hunderte Millionen US-Dollar.

Besonders betroffen sind folgende Branchen:

• Telekommunikation – Angriffe zielen auf Kunden- und Infrastrukturdaten.
• Gesundheitswesen – Angriffe auf medizinische Portale und Patientendaten.
• Finanz- und Bankwesen – Gestohlene Zugangsdaten ermöglichen nicht autorisierte Transaktionen.
• Gastgewerbe – Booking.com und ähnliche Plattformen dienen als Köder.

Auch APT-Gruppen (Advanced Persistent Threats), darunter staatlich unterstützte Akteure aus Nordkorea, Iran und Russland, setzen inzwischen Angriffe nach dem ClickFix-Muster ein – für Spionage und dauerhaften Zugang zu Unternehmensnetzwerken.

Gefälschte CAPTCHA-Angriffe erkennen und verhindern

Angesichts der Raffinesse dieser Angriffe sind sowohl technische Schutzmaßnahmen als auch umsichtiges Verhalten wichtig. Darauf sollten Sie achten:

Warnsignale: So erkennen Sie ein gefälschtes CAPTCHA

• Ungewöhnliche Anweisungen: Seriöse CAPTCHAs fordern niemals dazu auf, Systembefehle auszuführen, den Ausführen-Dialog zu öffnen oder Code ins Terminal einzufügen.
• Aufforderungen zum Herunterladen oder Installieren von Software: Seien Sie misstrauisch, wenn ein CAPTCHA zum Herunterladen von Dateien oder Browser-Erweiterungen auffordert.
• Unerwartete Pop-ups: Seien Sie besonders vorsichtig bei CAPTCHAs auf unbekannten oder verdächtigen Websites, vor allem nach einem Klick auf Anzeigen oder Links in unaufgeforderten E-Mails.
• Ungewöhnliche URLs: Prüfen Sie die Website-Adresse genau. Gefälschte CAPTCHAs erscheinen oft auf falsch geschriebenen Domains oder auf Websites, die nichts mit dem erwarteten Dienst zu tun haben.

Bewährte Schutzmaßnahmen für Privatpersonen

• Befolgen Sie niemals Anweisungen aus nicht vertrauenswürdigen Quellen, Systembefehle auszuführen. Fordert ein CAPTCHA Sie auf, den Ausführen-Dialog oder das Terminal zu öffnen, schließen Sie die Seite sofort.
• Prüfen Sie, ob die Website echt ist. Rufen Sie Websites direkt über die Eingabe der URL auf, statt auf Links in E-Mails oder Anzeigen zu klicken.
• Halten Sie Ihre Software und Ihr Betriebssystem aktuell. Sicherheitsupdates können helfen, das Ausnutzen von Schwachstellen zu verhindern.
• Verwenden Sie eine seriöse Sicherheitssoftware. Aktivieren Sie den Echtzeitschutz und halten Sie die Erkennungsdatenbanken aktuell.
• Informieren Sie sich und andere. Wissen ist der beste Schutz vor Social Engineering.

Bewährte Schutzmaßnahmen für Organisationen

• Setzen Sie technische Schutzmaßnahmen um: Beschränken Sie über Gruppenrichtlinien oder Endpoint-Management-Tools die Möglichkeit nicht administrativer Nutzer, PowerShell- oder mshta.exe-Befehle auszuführen.
• Überwachen Sie verdächtige Aktivitäten: Nutzen Sie Endpoint-Detection-and-Response-Lösungen (EDR), um ungewöhnliche Befehlsausführungen und Netzwerkaktivitäten zu erkennen.
• Sperren Sie bekannte schädliche Domains und URLs: Halten Sie Sperrlisten aktuell und nutzen Sie Webfilter.
• Setzen Sie Mehr-Faktor-Authentifizierung (MFA) durch: Verringern Sie die Folgen eines Diebstahls von Zugangsdaten.
• Führen Sie regelmäßig Sicherheitsschulungen durch: Bringen Sie Beschäftigten bei, Phishing und Social-Engineering-Taktiken zu erkennen.
• Erstellen Sie Pläne für die Reaktion auf Sicherheitsvorfälle: Stellen Sie sicher, dass infizierte Endgeräte schnell isoliert und untersucht werden können.

Was tun, wenn Sie eine Infektion vermuten?

Wenn Sie glauben, Opfer eines gefälschten CAPTCHA-Angriffs geworden zu sein:

• Trennen Sie das Gerät sofort vom Netzwerk, um eine weitere Übertragung von Daten zu verhindern.
• Wenden Sie sich an Ihre IT- oder Sicherheitsabteilung, wenn Sie in einer Organisation arbeiten.
• Führen Sie mit einer seriösen Sicherheitssoftware eine vollständige Malware-Prüfung durch.
• Ändern Sie alle Passwörter für Konten, auf die Sie vom infizierten Gerät aus zugegriffen haben – insbesondere für sensible Dienste wie Onlinebanking, E-Mail und Cloud-Speicher.
• Achten Sie auf verdächtige Aktivitäten bei Ihren Konten und aktivieren Sie gegebenenfalls zusätzliche Sicherheitsmaßnahmen wie MFA.

Warum gefälschte CAPTCHA-Angriffe eine neue Ära der Cyberkriminalität einläuten

Gefälschte CAPTCHA-Angriffe, insbesondere solche mit ClickFix, markieren eine bedeutende Weiterentwicklung der Cyberkriminalität. Indem sie das Vertrauen der Nutzer in vertraute Sicherheitsmechanismen ausnutzen und Social Engineering einsetzen, können Angreifer viele herkömmliche Schutzmaßnahmen umgehen. Die Angriffe sind schwer zu erkennen, weil sie auf Aktionen der Nutzer beruhen. Zudem wird die verbreitete Malware immer ausgefeilter und modularer.

Während Cyberkriminelle ihre Methoden weiter verfeinern, verschwimmt die Grenze zwischen legitimen und schädlichen Online-Erlebnissen immer mehr. Das unterstreicht, wie wichtig es ist, technische Schutzmaßnahmen mit Aufklärung und Wachsamkeit der Nutzer zu verbinden.

Zusammenfassung

• Gefälschte CAPTCHA-Angriffe nutzen überzeugende Nachahmungen von Sicherheitsrätseln, um Nutzer dazu zu bringen, auf ihren eigenen Geräten Malware auszuführen.
• Die ClickFix-Methode verleitet Nutzer dazu, schädliche Befehle auszuführen, und umgeht so viele Sicherheitsvorkehrungen.
• Lumma Stealer und ähnliche Malware können Passwörter, Finanzdaten und weitere Informationen stehlen und dadurch erhebliche Schäden für Privatpersonen und Organisationen verursachen.
• Die Angriffe breiten sich weltweit aus und richten sich gegen Menschen und Unternehmen aus vielen Branchen.
• Ein Warnsignal sind CAPTCHAs, die zum Ausführen von Systembefehlen oder Herunterladen von Dateien auffordern. Seriöse CAPTCHAs tun das niemals.
• Zum Schutz braucht es eine Kombination aus technischen Maßnahmen, aktueller Sicherheitssoftware und Aufklärung der Nutzer.
• Trennen Sie ein infiziertes Gerät vom Netzwerk, führen Sie eine Malware-Prüfung durch, ändern Sie Passwörter und holen Sie sich professionelle Hilfe.
• Wachsamkeit und Skepsis gegenüber unerwarteten Online-Anweisungen sind der beste Schutz vor dieser neuen Welle von Cyberbedrohungen.