ClickFix: das gefälschte Captcha, das zum Einfügen eines Befehls auffordert und Passwörter stiehlt

Sie öffnen eine Website, und es erscheint ein Feld, das wie ein Captcha aussieht. Es heißt, Sie müssten bestätigen, dass Sie ein Mensch sind, und nennt drei Schritte: Windows-Taste und R drücken, Strg und V drücken, Enter drücken. Es wirkt wie eine der vielen Prüfungen im Internet. Ist es aber nicht. Sie haben gerade auf Ihrem Rechner einen Befehl ausgeführt, den Ihnen jemand in die Zwischenablage kopiert hat.

Das ist der als ClickFix bekannte Angriff, und er ist auf kompromittierten Websites, Onlineshops eingeschlossen, sehr verbreitet.

Wie es funktioniert

1. Die Website ist kompromittiert. Jemand hat ein JavaScript in ein Template, ein Modul oder eine Theme-Datei eingeschleust.
2. Das Skript zeigt eine bildschirmfüllende Ebene, die wie ein Captcha oder ein Prüffehler aussieht und manchmal den Stil bekannter Dienste nachahmt.
3. Beim Klick auf den Button kopiert es einen Befehl in die Zwischenablage, ohne dass der Nutzer es sieht. Meist ist es ein PowerShell-Befehl oder einer eines anderen Systemwerkzeugs, der ein Programm herunterlädt und ausführt.
4. Die Anweisungen sorgen dafür, dass der Nutzer ihn selbst ausführt, im Windows-Dialog Ausführen. Manche Varianten verlangen, auf dem Mac das Terminal zu öffnen.
5. Das heruntergeladene Programm installiert sich, in der Regel ein Infostealer.

Worauf es abzielt

Ziel ist nicht der Server des Shops, sondern der Rechner der Besucher. Was installiert wird, dient meist zum Stehlen von:

• Im Browser gespeicherten Passwörtern.
• Sitzungscookies, mit denen man sich ohne Passwort in Konten anmelden und manchmal sogar die Zwei-Faktor-Authentifizierung umgehen kann.
• Profilen von FTP-Clients mit ihren Passwörtern.
• Krypto-Wallets und automatisch ausgefüllten Formulardaten.

Überlegen Sie nun, wer Ihren Shop häufiger besucht als alle anderen: Sie und Ihr Team. Erscheint das gefälschte Captcha im Backoffice oder im Shop, während Sie ihn verwalten, werden die Zugangsdaten für das Hosting-Panel, den FTP, die Firmen-E-Mail und das Backoffice selbst gestohlen. So wird aus einer kleinen Infektion sehr effektiv die vollständige Kontrolle, und das erklärt manche Kompromittierungen per FTP, die in den Webprotokollen keine Spur hinterlassen.

Für Ihre Kunden ist der Schaden ein anderer: Über Ihre Website werden Daten von ihrem Rechner gestohlen. Neben dem Problem für sie ist das ein Reputationsproblem und je nach Fall auch eine Frage von Meldepflichten.

Wie Sie es erkennen

Als Besucher gibt es eine einfache Regel, die Ihr ganzes Team kennen sollte:

Keine legitime Prüfung verlangt, den Dialog Ausführen, das Terminal oder PowerShell zu öffnen und etwas einzufügen. Weder Google noch Cloudflare noch irgendeine Bank. Gibt Ihnen ein Captcha Tastaturanweisungen, ist es ein Angriff. Schließen Sie den Tab.

Weitere Anzeichen:

• Das angebliche Captcha erscheint auf einer Website, auf der es vorher keines gab.
• Es füllt den ganzen Bildschirm und verdeckt die Website darunter.
• Es erwähnt Fehler bei der »DNS-Überprüfung«, ein »Browser-Update« oder Ähnliches.
• Etwas wird in die Zwischenablage kopiert, ohne dass Sie auf einen Kopieren-Button geklickt haben.

Hat jemand aus Ihrem Team es bereits ausgeführt: Trennen Sie diesen Rechner vom Netzwerk, melden Sie sich damit bei keinem Dienst an, und ändern Sie von einem anderen, sauberen Rechner aus die Passwörter für alles, was darauf gespeichert war, und beenden Sie offene Sitzungen. Danach muss der betroffene Rechner professionell bereinigt oder neu aufgesetzt werden.

Wie Sie feststellen, ob Ihr Shop es ausliefert

Das Skript kann sich nur einem Teil der Besucher zeigen: nur unter Windows, nur beim ersten Besuch, nur aus bestimmten Ländern oder nur Besuchern, die nicht als Administrator erkannt werden. Deshalb reicht es nicht, den Shop zu öffnen und nichts zu sehen.

• Prüfen Sie die JavaScript-Dateien des Themes und der Module auf kürzliche Änderungen, vor allem auf sehr lange Zeilen, die am Anfang oder Ende eingefügt wurden.
• Prüfen Sie die Templates des Themes darauf, ob ein <script>-Tag hinzugekommen ist, das etwas von außen lädt.
• Sehen Sie sich die Konfiguration von Modulen an, die das Einfügen von HTML erlauben (benutzerdefinierte Blöcke, Codefelder im Header), denn die Injection kann in der Datenbank statt in einer Datei stecken.
• Testen Sie mit einem sauberen Browser, im privaten Fenster und ohne Sitzung, und auf einem Smartphone.
• Hören Sie auf Ihre Kunden. Ein Hinweis wie »Bei mir kam ein seltsames Captcha« ist ernst zu nehmen.

Wenn Sie es finden, denken Sie daran: Das Skript ist die Folge, nicht die Ursache. Jemand hatte Zugang, um es dort zu platzieren: Wie bei jeder anderen Infektion müssen Sie die Tür finden, durch die er hereinkam, und sie schließen. PrestaShop und Module aktuell zu halten verringert die Wege, über die jemand ein solches Skript einschleusen kann, erheblich.

Bedenken Sie auch, dass sich diese Skripte häufig ändern: Derselbe Loader holt den Inhalt jedes Mal von einem externen Server, und was heute ein gefälschtes Captcha ist, kann morgen ein Hinweis auf ein Browser-Update oder ein Zahlungsformular sein. Deshalb reicht es nicht, das gesehene Feld zu entfernen: Sie müssen den Loader entfernen und herausfinden, wie er in Ihre Dateien oder Ihre Datenbank gelangt ist.

Was Sie Ihrem Team sagen sollten

• Niemals etwas in Ausführen, PowerShell oder das Terminal einfügen, nur weil eine Website es verlangt.
• FTP- und Panel-Passwörter weder im Browser noch im FTP-Client speichern.
• Zwei-Faktor-Authentifizierung im Backoffice, im Hosting-Panel und bei der E-Mail nutzen.
• Sofort Bescheid geben, wenn ihnen im Shop etwas seltsam vorkommt, auch wenn es nach wenig aussieht.

So lösen Sie es in PrestaShop

RKR Security Alert enthält einen Wächter, der die bereits im Browser aufgebaute Seite beobachtet, wo Injections sichtbar werden, die auf der Festplatte keine Spur hinterlassen. Gegen ClickFix überwacht er Schreibzugriffe auf die Zwischenablage: Er meldet, wenn eine Website hineinschreibt, ohne dass der Nutzer vorher einen Kopieren-Button gedrückt hat, und immer dann, wenn das Kopierte ein Systembefehl ist; zudem erkennt er die bildschirmfüllende Ebene, die zum Öffnen des Dialogs Ausführen auffordert. Er ist so getestet, dass er bei Cookie-Hinweisen, Newsletter-Fenstern und dem legitimen reCAPTCHA von Google nicht anschlägt. Auf dem Server sucht sein Scanner nach eingeschleustem JavaScript und überwacht Änderungen an Dateien und Templates, damit Sie auch herausfinden, wie das Skript hineingekommen ist.