Anatomie des „Fake-CAPTCHA → ClickFix“-Köders
Ein 90-sekündiger Walkthrough durch eine der wirkungsvollsten Social-Engineering-Ketten des Jahres – mit dem vollständigen MITM-Transkript aus einer Live-Erkennung.
ClickFix ist eine Technik, bei der eine gefälschte CAPTCHA-Seite den Nutzer dazu verleitet, einen Clipboard-Befehl in den Windows-Dialog „Ausführen“ einzufügen. Der Clipboard-Befehl ist typischerweise ein PowerShell-Einzeiler, der einen Second-Stage-Loader herunterlädt.
Die Infrastruktur beeindruckt durch ihre Schlichtheit: Ein kompromittiertes WordPress-Plugin injiziert ein einziges bedingtes Skript, das die Seite durch den Köder ersetzt, sobald der Besucher dem Zielprofil entspricht (Windows + nicht-korporative IP + Erstbesuch).
Unsere Pipeline fängt dies auf der Ebene der Redirect-Chain ab. Das injizierte JavaScript führt einen Same-Origin-Fetch auf /wp-content/plugins/<name>/api.php durch, der den Köder-HTML zurückgibt. Dieser Fetch ist für passive Scanner unsichtbar, aber unbestreitbar, wenn er in einem echten Browser wiedergegeben wird.
Die gute Nachricht: Jede bestätigte Erkennung im vergangenen Quartal wies denselben Drei-Zeichen-Header in der api.php-Antwort auf. Wir kennzeichnen diesen Header jetzt auf Netzwerkebene zur Frühwarnung.