Passguard startet ClickFix Observer: ClickFix-Angriffe kostenlos verfolgen

Heute starten wir ClickFix Observer, ein kostenloses öffentliches Dashboard unter clickfix.observer, das ClickFix-Angriffe zeigt, während sie im Web passieren. Zum Start enthält es mehr als 9.000 bestätigte Lures, und die Zahl wächst stündlich.

Warum wir es gebaut haben

Passguard überwacht kriminelle Marktplätze, um Infostealer-Infektionen zu erkennen, bevor Angreifer sie ausnutzen können. Jeden Tag sehen wir gestohlene Zugangsdaten und Session-Tokens, die zum Verkauf angeboten werden. Für die meisten unserer Kunden ist das der erste Moment, in dem sie erfahren, dass ein Gerät infiziert war.

Dann ist der interessante Teil bereits vorbei. Als wir gestohlene Daten bis zu ihrer Quelle zurückverfolgten, landeten wir immer häufiger beim selben Ergebnis: einer kompromittierten WordPress-Website mit einem gefälschten CAPTCHA.

Diese Technik heißt ClickFix, und sie wächst schnell. Laut dem aktuellen Threat Report von ESET stiegen die ClickFix-Erkennungen zwischen H2 2025 und H1 2026 um 108 % (ESET Threat Report H1 2026). Also haben wir getan, was wir bereits für kriminelle Marktplätze tun: Wir haben die Erfassung automatisiert.

Was ist ClickFix?

ClickFix ist eine Social-Engineering-Technik, die Menschen dazu bringt, sich selbst zu infizieren. Statt Sie zu bitten, eine Datei herunterzuladen und zu öffnen (was Antivirensoftware gut erkennt), fordert sie Sie auf, einen Befehl einzufügen und auszuführen.

Der Lure sieht meist aus wie ein Kontrollkästchen „Bestätigen Sie, dass Sie ein Mensch sind“, eine gefälschte Fehlermeldung oder eine Abfrage im Cloudflare-Stil. Wer sich durchklickt, erlebt Folgendes:

1. Ein bösartiger PowerShell-Befehl wird unbemerkt in Ihre Zwischenablage kopiert.
2. Eine kurze Anleitung fordert Sie auf, Win+R zu drücken, dann Strg+V und dann Enter.
3. Der Befehl läuft mit Ihren Berechtigungen und lädt die eigentliche Payload nach, meist einen Infostealer wie Lumma Stealer.

Über den Browser wird nichts heruntergeladen. Der Befehl erscheint nie in der Adressleiste, nur im Windows-Dialog „Ausführen“. Und die Tasten haben Sie selbst gedrückt.

Was ClickFix Observer zeigt

Jeder Eintrag ist ein bestätigter Lure, keine Seite, die nur verdächtig aussieht. Wir listen eine Website erst, wenn unsere Scanner die Technik in einem echten Browser in Aktion erfasst haben: den Befehl in der Zwischenablage und die Anleitung zum Einfügen und Ausführen, die dem Besucher angezeigt wird.

Zu jedem Lure erhalten Sie:

• Screenshots vorher und nachher: die Seite vor und nach dem Klick auf das gefälschte CAPTCHA
• Die extrahierte Payload: der exakte Befehl aus der Zwischenablage, entschärft (defanged), mit seiner Download-URL
• Die Angriffskette: von der Lure-Website über den Delivery-Host bis zur Payload, Schritt für Schritt
• Infrastruktur: die kompromittierte Domain, der Host, der das Kit ausliefert, und seine IP-Adresse, direkt nutzbar als Indicators of Compromise

Für wen es gedacht ist

ClickFix Observer richtet sich an SOC- und Threat-Intelligence-Teams, Incident Responder, Forschende, Website-Betreiber und Security-Awareness-Teams.

ClickFix-Lures sitzen auf gewöhnlichen kompromittierten Websites und treffen jeden Besucher, unabhängig von der Branche. Deshalb haben wir die Daten öffentlich gemacht.

Jetzt beobachten

ClickFix Observer ist live unter clickfix.observer. Es ist kostenlos, und Sie brauchen kein Konto, um den Feed zu durchsuchen oder einen Bericht zu öffnen.

Finden Sie Ihre eigene Domain in der Liste, behandeln Sie das als bestätigte Kompromittierung und entfernen Sie die eingeschleusten Skripte. Möchten Sie wissen, ob Ihre Organisation bereits betroffen ist? Starten Sie einen kostenlosen Scan.

Wir beobachten weiter. Jetzt können Sie das auch.