Eine neue macOS-ClickFix-Kampagne setzt auf ClickFix-Fingerprinting: Mehr als 250 Frontend-Domains prüfen, wer die Seite aufruft, und entscheiden dann serverseitig, welche Inhalte überhaupt erscheinen. Für viele wirkt die Seite leer, falsch oder wie etwas völlig Unpassendes – während für ausgewählte Mac-Nutzer eine vermeintlich harmlose Download-Seite im Stil von „macOS“ bereitsteht.
Das Besondere: Das „Tor“ gegen automatische Analyse sorgt dafür, dass Crawler, Sandboxen oder Besucher aus unerwünschten Kontexten die eigentliche Lure nicht korrekt sehen. Erst wer die Qualifikationskriterien erfüllt, bekommt die irreführende Antwort – und anschließend verlangt das Social-Engineering den nächsten Schritt.
Was ClickFix-Fingerprinting in dieser Kampagne macht
Microsoft ordnet die Operation einer Infrastruktur zu, die während der Beobachtungszeit mehrfach umgestellt wurde. Der entscheidende Mechanismus läuft dabei im Hintergrund: Ein Script auf der Serverseite liest Browser- und Gerätewerte aus und trifft dann eine Auswahl, welche Antwort der Besucher erhält.
Die Prüfung nutzt unter anderem Hinweise, die „echt wirkende“ Apple-Hardware von virtuellen oder emulierten Umgebungen trennen sollen. Dazu gehören typische Navigator-Angaben wie die Plattformzeichenkette (auf einem echten Mac sollte das „MacIntel“ melden) sowie Informationen zu Bildschirm- und Fenstermaßen und Signalen aus WebGL.
Zusätzlich wird geprüft, ob die Seite in einem iframe eingebettet ist, welche Zeitzone anliegt und ob Touch-Unterstützung gemeldet wird. Desktop-Macs bieten in der Regel keine Touch-Eingaben – solche Widersprüche können zur Abweisung führen.
Vermeidung von Analyse: Konsolen- und Medien-Tripwire
Für Sicherheitsforscher enthält das Gate auch gezielte Detektoren. Zwei Sonden sollen Hinweise auf eine Analyseumgebung liefern: Ein Zähler, der weiterwächst, wenn die Entwicklerkonsole geöffnet ist, sowie eine Medienprüfung über eine Umdeutung von canPlayType(„video/mp4“). Die Idee dahinter: Manche „stealth“-Browser oder Analyse-Setups fälschen Codec-Support in JavaScript, und genau das wird zum Signal.
Die gesammelten Werte werden als Fingerprint an den Server zurückgegeben. Anschließend entscheidet die Infrastruktur pro Anfrage, was der Nutzer sieht. Laut Bericht kann sogar ein zweiter Besuch derselben URL völlig andere Inhalte liefern, je nach Fingerprinting-Ergebnis.
Warum Crawler und Sandboxes die Lure oft nicht finden
Der Server liefert für nicht qualifizierte Besucher keine klare Beweiskette. Stattdessen sind Reaktionen möglich, die einem Ermittler wenig Angriffsfläche geben: blanke Seiten, eine scheinbar gefälschte Browser-Erweiterung oder sogar ein thematisch nicht zusammenhängender Geschäftsunfug.
Für qualifizierte Mac-Nutzer ist die Antwort hingegen eine „Download for macOS“-Seite – optisch an GitHub angelehnt – inklusive eines manipulierten „Verified Publisher“-Badges. Solche Details sind wichtig, weil sie das Social-Engineering glaubwürdiger machen sollen.
Wichtig für die Einordnung: Eine „harmlos wirkende“ oder ähnlich aussehende Antwort ist kein Sicherheitsnachweis. Der Bericht betont ausdrücklich, dass die Domain dadurch nicht automatisch als unbedenklich gilt.
Der entscheidende Schritt: Terminal-Befehl statt Klick auf einen Installer
Auch wenn die Seite „wie ein Download“ aussieht: Die eigentliche Kompromittierung erfordert eine Nutzerhandlung. Der Angriffskern verlangt, dass die betroffene Person einen verschleierten Terminal-Befehl kopiert und ausführt.
Nach dem Start holt der Befehl weitere Skripte nach und leitet eine Infostealer-Kette ein. Microsoft beschreibt als Ziele unter anderem Daten, die für Identitäts- und Kontodiebstahl besonders wertvoll sind: Credentials, Browserdaten, Authentifizierungsspeicher, Kryptowährungs-Wallets sowie weitere sensible Dateien.
Die Kampagne lässt damit bewusst den häufigen Automatismus aus: Es ist nicht nur „ausführen“, sondern „kopieren und einfügen“ – genau diesen Schritt sollen Nutzer konsequent verweigern.
Was Sie konkret ablehnen sollten
Wenn eine Website, ein CAPTCHA-Dialog, ein Chat oder eine Download-Seite Sie auffordert, Text in das Terminal zu einfügen, ist das ein klares Warnsignal. Folgen Sie solchen Anweisungen nicht. Gerade bei Aufforderungen, versteckte Befehle auszuführen oder Schritte zu wiederholen, die nicht zu einem offiziellen Installer-Prozess passen, steigt das Risiko massiv.
Der entscheidende Punkt: Selbst wenn die Seite wie ein legitimes Projekt oder eine bekannte Plattform wirkt, kann sie nur für ausgewählte Geräte eine überzeugende Lure ausspielen.
Indizien für Verteidiger: Wo Sie in Logs suchen sollten
Da das „Tor“ selbst vor automatisierter Analyse einiges versteckt, empfiehlt der Schutzfokus: nicht ausschließlich „die Malware suchen“, sondern das Fingerprinting-Gate und die dazugehörigen Staging-Mechanismen erkennen.
Im Bericht nennt Microsoft Hinweise, die nach dem Laden der Lure auftreten können. Dazu zählen ungewöhnliche Terminal-Aktivitäten, insbesondere wenn curl in Verbindung mit zsh auftaucht, gefolgt von typischen Mustern wie Base64-Decoding, dem Einsatz von osascript und dem Erstellen von Archiven, bevor dann ausgehende HTTP-Requests (z. B. als POST) folgen.
Außerdem wird beschrieben, dass nach erfolgreicher Nutzeraktion der weitere Zugriff über einen Pfad mit dem Muster /curl/<id> läuft. Verteidiger sollten deshalb nicht nur „Domainnamen“ sammeln, sondern die beobachteten Pfade und die gemeinsam genutzte Infrastruktur in den Blick nehmen.
Die Infrastruktur: viele Domains, unterschiedliche Namensmuster
Microsoft bestätigte im Beobachtungsfenster mehr als 250 Frontend-Domains. Viele davon setzen sich aus Begriffen wie „file“ plus Wörter aus einem Wörterbuch zusammen. Beispiele im Bericht umfassen unter anderem Namen wie „filecopperbasket[.]sbs“ und „applefilevault[.]com“.
Gleichzeitig warnt Microsoft: Das reine Namensmuster ist nur ein Hinweis im Rahmen des „Huntings“. Stärker als ein einzelner Domain-Name wirken Signale aus der Kombination von Wegbeschreibung, Verhalten der Infrastruktur und dem Fingerprinting-Gate selbst.
Ein Teil der größeren Domänenstruktur verteilt zudem auch Komponenten, die Microsoft unter MacSync sowie im weiteren Kettenkontext Atomic Stealer (AMOS) einordnet. Nicht alle Frontend-Domains wurden jedoch im Detail mit einem konkreten Payload-Ziel abgebildet.
Wie macOS-Schutzfunktionen helfen können
Microsoft verweist außerdem auf Schutzmaßnahmen in macOS. Apple veröffentlichte macOS 26.4 am 24. März 2026 und dokumentierte die Absicherungen am 3. August 2026 genauer.
Unter anderem zeigt Terminal eine Bestätigungsmeldung, wenn das Terminal längere Zeit nicht geöffnet war (im Bericht: mehr als 30 Tage) und wenn bestimmte typische Entwicklerwerkzeuge fehlen. Außerdem soll macOS Bestätigungen auslösen, wenn Inhalte aus Browsern oder Messaging-Apps eingefügt werden.
Zusätzlich kann XProtect Befehle verfolgen, die in Terminal-Emulatoren eingefügt wurden, die Prozesskette sowie Netzwerkartefakte inspizieren und Aktivitäten blockieren, die mit bekannten Malware-Signaturen zusammenhängen.
Warum die Empfehlung klar bleibt: Gate- statt Lure-Fahndung
Der Bericht legt nahe, dass das Gate vor allem dazu dient, die Infrastruktur für automatisierte Analyse zu tarnen. Die Social-Engineering-Grundidee bleibt dabei unverändert: Für qualifizierte Nutzer erscheint eine überzeugende Download-Seite, doch der tatsächliche Schaden startet erst, wenn der Nutzer den vorgeschlagenen Terminal-Befehl kopiert und ausführt.
Deshalb ist die praktische Konsequenz für Security-Teams: Den Fokus auf das Erkennen des Fingerprinting-Gates und der gemeinsamen Staging-Logik richten. Dazu gehören das Auffinden von selbstübermittelnden Fingerprint-Formularen bzw. versteckten Fingerprint-Feldern sowie auffälligen Artefakten wie einem Hinweis auf mode:"php".
Wer diese Signale im Zusammenspiel mit den beobachteten Pfaden und der Infrastruktur blockiert, muss nicht alle „Wegwerf“-Frontend-Domains einzeln verfolgen.
Fazit
Diese ClickFix-Kampagne zeigt eindrucksvoll, wie ClickFix-Fingerprinting eingesetzt wird, um eine macOS-Malware-Lure vor Analyseprogrammen zu verbergen und gleichzeitig ausgewählten Nutzern eine glaubwürdige Download-Seite zu liefern. Der entscheidende Schutz bleibt aber einfach: Folgen Sie niemals Anweisungen, die von Webseiten oder Chats verlangen, Text in das Terminal einzufügen und auszuführen.
Für Verteidiger gilt: Suchen Sie nicht nur nach verdächtigen Domains, sondern jagen Sie die Fingerprinting-Entscheidung, die versteckten Fingerprint-Daten und die nachfolgenden Staging-Mechanismen – insbesondere die Muster rund um /curl/<id> und die beobachtbaren Terminal- und Netzwerkfolgen.
Quelle: https://thehackernews.com/2026/08/over-250-clickfix-domains-use-browser.html
