TerminalFix ClickFix Attack Campaign trifft Deutschland

Eine TerminalFix-Kampagne nach dem ClickFix-Muster (TerminalFix ClickFix attack campaign) hat das Netzwerk einer deutschen staatlichen Institution kompromittiert, wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) am 4. September bestätigte. TerminalFix ist eine Weiterentwicklung der ClickFix-Social-Engineering-Technik: Ein gefälschtes CAPTCHA verleitet einen Nutzer dazu, einen Befehl einzufügen — doch statt des alten, auf eine einzelne Maschine begrenzten Run-Dialog-Tricks öffnet sich Windows Terminal, und es wird ein Reverse-Tunnel installiert, der Angreifern einen Fuß in der Tür zum gesamten Netzwerk verschafft.

Was ist passiert

Microsoft legte die TerminalFix-Kampagne am 28. August 2026 in einem Security-Blogbeitrag offen. Kompromittierte Websites zeigen ein gefälschtes Cloudflare-CAPTCHA-Verifizierungs-Overlay, das den Besucher anweist, einen Befehl zu kopieren und einzufügen — nicht in den Windows-Ausführen-Dialog wie bei klassischen ClickFix-Angriffen, sondern in Windows Terminal oder PowerShell. Dieser Unterschied ist entscheidend: Terminal und PowerShell führen längere, mehrzeilige Skripte zuverlässig aus, wo der Ausführen-Dialog häufig versagt oder abschneidet. Microsoft beschreibt eine mehrstufige Kette, in der der eingefügte Befehl ein verstecktes PowerShell-Skript startet, das ein ZIP-Archiv von der Angreifer-Infrastruktur herunterlädt, es nach C:\ProgramData extrahiert und einen als AxolotLoader (auch bekannt als LoremIpsumLoader) geführten Loader startet. Das BSI berichtet separat, dass die Angreifer eine Python-Laufzeitumgebung installierten und eine Python-Komponente nutzten, um einen TLS/WebSocket-Reverse-Tunnel über Port 443 aufzubauen — dieser verschafft dem Angreifer proxyartigen Zugriff auf das interne Netzwerk des Opfers, ausgehend von dem einen kompromittierten Rechner, und unterstützt laterale Bewegung, jedoch keinen uneingeschränkten Zugriff auf das gesamte Netzwerk.

Die BSI-IT-Sicherheitsmitteilung vom 4. September 2026, veröffentlicht mit Kritikalität 2 (Hoch), besagt, dass das BSI im August über die Kompromittierung des Netzwerks einer staatlichen Institution informiert wurde, deren Tathergang dem TerminalFix-Muster entspricht, und dass die Angreifer versuchten, Ransomware zu installieren und Daten für Double Extortion auszuleiten. Das deutsche Portal heise.de berichtet zudem, dass TerminalFix der bestätigte erste Angriffsvektor in das Netzwerk des Berliner Senats war — jener Vorfall, über den DIESEC am 31. August berichtete, bei dem die Ransomware-Gruppe Rhysida rund 5,79 TB an Daten beanspruchte und Berlins Bürgermeister sowie die Innensenatorin öffentlich eine Zahlung ablehnten. heise ordnet die TerminalFix-Malware demselben finanziell motivierten Cluster zu, das hinter der Rhysida-Leak-Seite steht und als Vice Spider geführt wird; das BSI bestätigt die Kompromittierung der staatlichen Institution und den Ransomware-/Double-Extortion-Versuch, nennt aber weder den Berliner Senat noch den Vice-Spider-Cluster selbst — diese Zuordnung stammt aus der Berichterstattung von heise, nicht vom BSI direkt.

Warum das wichtig ist

Diese TerminalFix ClickFix attack campaign ist der direkte Nachfolger der ursprünglichen ClickFix-Technik, über die DIESEC bereits im Januar 2026 berichtete — sie schließt jedoch genau die Lücke, die ClickFix zu einem vergleichsweise eingrenzbaren Problem machte: Statt nur eine Maschine zu kompromittieren, verschafft ein erfolgreicher CAPTCHA-basierter Täuschungsversuch nach dem TerminalFix-Muster dem Angreifer innerhalb weniger Minuten einen Drehpunkt ins gesamte Netzwerk: Ein klassischer Anhang oder Exploit war nicht nötig, um die Kette auszulösen — der Copy-Paste-Vorgang des Nutzers selbst löste den Download und die Ausführung der bösartigen Komponenten aus. Das macht die Technik für Kontrollen, die auf das Blockieren bösartiger Downloads oder Anhänge ausgelegt sind, faktisch unsichtbar — der Nutzer selbst ist der Übertragungsweg, und bis EDR-Systeme etwas Ungewöhnliches bemerken, kann der Angreifer bereits im Netzwerk sein. Für jede Organisation mit öffentlich erreichbarer Infrastruktur oder einer im Internet aktiven Belegschaft — was in der Praxis auf nahezu jedes deutsche Mittelstandsunternehmen zutrifft — ist dies ebenso eine Governance-Lücke auf Leitungsebene wie ein technisches Problem, und die bestätigte Verbindung zum Berliner Senat zeigt, dass die Technik auch gegen IT-Umgebungen auf Behördenniveau funktioniert, nicht nur gegen weiche Ziele.

Was Sie jetzt tun sollten

1. Setzen Sie Attack-Surface-Reduction-Regeln (ASR) oder gleichwertige Endpoint-Kontrollen ein, die das Starten von PowerShell und Windows Terminal über Clipboard-Paste-Muster aus einem Browser-Kontext heraus blockieren, sofern Ihre Umgebung dies unterstützt — betrachten Sie dies als eine sinnvolle Kontrolle unter mehreren, nicht als Standardfunktion jeder EDR-Lösung.
2. Aktivieren Sie PowerShell Script Block Logging, erwägen Sie den Constrained Language Mode, wo sinnvoll, und überwachen Sie gezielt Prozessketten von Browser zu PowerShell bzw. Browser zu Windows Terminal — dies sind die vom BSI gestützten Erkennungspunkte für diese Kampagne.
3. Prüfen Sie: Durchsuchen Sie Endpoint- und Proxy-Logs nach unerwarteten, langlebigen ausgehenden WebSocket-/TLS-Sitzungen von Arbeitsplatzrechnern (nicht von Servern), passend zu dem vom BSI beschriebenen Reverse-Tunnel, sowie nach den in Microsofts Advisory veröffentlichten Indikatoren für AxolotLoader/LoremIpsumLoader.
4. Mitigieren Sie jetzt, auch ohne bestätigten Vorfall: Schulen Sie Mitarbeitende gezielt zum Muster „CAPTCHA, dann Befehl einfügen“ — Standard-Phishing-Trainings decken dies selten ab, da im klassischen Sinn weder ein Anhang noch ein Link angeklickt wird.
5. Überwachen Sie und behandeln Sie jeden betroffenen Rechner als potenziellen Netzwerk-Einstiegspunkt, nicht nur als infizierten Endpunkt — das bedeutet eine Prüfung auf laterale Bewegung und Credential-Exposition, nicht nur Malware-Entfernung und Neuaufsetzen.

Wenn Ihre Organisation Mitarbeitende seit der ersten ClickFix-Welle im Januar nicht erneut zu CAPTCHA-basierten Täuschungsversuchen geschult hat, behandeln Sie diese Lücke als aktuell — TerminalFix zeigt, dass sich die Technik weiterentwickelt und weiterhin funktioniert.

DIESEC Einschätzung

Wir haben ClickFix bereits im Januar als zu beobachtende Technik markiert. Verändert hat sich seitdem nicht der Täuschungsversuch selbst — sondern die Payload dahinter. TerminalFix zeigt, dass derselbe Social-Engineering-Trick nun einen Drehpunkt ins Netzwerk liefern kann, statt nur eine einzelne infizierte Maschine, und die Tatsache, dass das BSI eine kompromittierte deutsche staatliche Institution bestätigt, während heise die Malware separat demselben Akteurs-Cluster hinter dem Berliner Rhysida-Vorfall zuordnet, macht deutlich: Dies ist kein theoretisches Risiko — weder für den öffentlichen Sektor noch für den deutschen Mittelstand.

Nicht sicher, ob Ihre Belegschaft einen TerminalFix-artigen CAPTCHA-basierten Täuschungsversuch erkennen würde, oder ob Ihre Endpoint-Kontrollen den nachfolgenden Reverse-Tunnel erfassen würden? Kontaktieren Sie DIESEC für eine schnelle Prüfung Ihrer Social-Engineering-Exposition und Endpoint-Erkennung.

Quellen: Microsoft Security Blog | BSI | heise online
Veröffentlicht: 2026-09-08 | Kategorie: Tägliche News | ~5 Min. Lesezeit