Russische Elite-Hacker nutzen Clickfix-Angriffe zur Gerätekompromittierung in der Ukraine
Ukrainische Behörden warnen, dass die Elite-Hackergruppe Sandworm des russischen Militärgeheimdienstes GRU die Clickfix-Angriffstechnik einsetzt. Die Methode nutzt gefälschte CAPTCHA-Abfragen zur Installation von Malware.
Eine der elitären Hackergruppen Russlands, die Sandworm-Einheit, die dem Militärgeheimdienst GRU zugeordnet wird, hat laut Warnungen des ukrainischen CERT-Zentrums eine Angriffstechnik namens Clickfix übernommen. Diese Methode zielt darauf ab, Geräte kritischer ukrainischer Organisationen zu kompromittieren.
Clickfix hat sich in den letzten etwa einem Jahr als effektive Angriffstechnik etabliert, die ursprünglich hauptsächlich von finanziell motivierten kriminellen Gruppen eingesetzt wurde. Bei dieser Methode zeigen von Angreifern kontrollierte Webseiten eine CAPTCHA-Prüfung an, bei der Besucher einen Text kopieren und in ein Terminalfenster einfügen müssen. Dieser Text enthält Skripte, die nach der Eingabe schädliche Aktionen ausführen, typischerweise die Installation von Malware oder die Exfiltration sensibler Daten.
Die seit Frühjahr andauernden Angriffe haben zu kompromittierten Netzwerken geführt. Mindestens eine Organisation wurde kompromittiert, als ein angeschlossenes Gerät mit FreakyPoll, einer von Sandworm entwickelten Malware, infiziert wurde. Ukrainische Behörden identifizierten zehn kompromittierte Webseiten, die einen PowerShell-Befehl als Teil einer gefälschten CAPTCHA anzeigten, um die Identität eines menschlichen Nutzers zu überprüfen.