ki-pentesting

ClickFix-Kampagne kapert macOS-Agenten und 17.000 URLs

ki-pentesting25.09.2026, 11:104 unabhängige QuellenFlowKI Newsroom

ClickFix übernimmt macOS-Agenten und verdrängt klassische Exploit-Techniken

ClickFix hat sich zur bevorzugten Einfallstür für Angreifer in Enterprise-Netzwerken entwickelt – nicht durch exploits, Attachments oder versteckte Dateien auf der Festplatte, sondern durch Social Engineering auf etablierten Webseiten. Eine neue Analyse von CTM360, wie The Hacker News berichtet, dokumentiert über 17.000 URLs, die für ClickFix-Kampagnen missbraucht wurden. Besonders kritisch: Metas Muse-Agent für macOS war per ClickFix übernehmbar, wie der Sicherheitsexperte Patrick Wardle gegenüber Heise Security darlegte – obwohl Meta selbst die Bedrohung als nicht kritisch einstuft.

ClickFix funktioniert nach einem etablierten Muster: Angreifer kompromittieren oder imitieren vertrauenswürdige Websites und injizieren gefälschte Benachrichtigungen, die Nutzer zur Eingabe von Anmeldedaten oder zum Download vermeintlicher "Sicherheitsupdates" auffordern. Die Technologie erfordert keinen technischen Fehler, keine ausnützbare Lücke – nur menschliches Vertrauen. Besonders raffiniert: Das Placeholder-Domain "third-party[.]com", das in über 1.700 Open-Source-Repositories als Dokumentationsbeispiel genutzt wird, wurde von Angreifern gekapert und nun als ClickFix-Köder eingesetzt. Für Windows-Browser zeigt die Domain schädliche Inhalte, für andere Nutzer ein harmloses Decoy. Zeitgleich nutzten ukrainische Hacker kompromittierte lokale Geschäftswebsites, um gefälschte Cloudflare-Verifizierungsseiten zu injizieren – mit der Absicht, Malware namens "Psychedelic Stealer" zu verteilen.

Die Varianz der ClickFix-Angriffe zeigt ein Muster: Wo früher Exploit-Kits und Ransomware-Dropper dominierten, dominiert jetzt die schlichte Nachricht "Ihr Konto verifizieren" oder "Update erforderlich". Der Grund liegt in der Effektivität. Während Zero-Days patched werden und Antivirus-Signaturen wachsen, bleibt Social Engineering dauerhaft wirksam – besonders gegen müde oder gehetzt wirkende Administratoren in großen Organisationen.

Besondere Gefahr für deutschsprachige Mittelständler und Hosting-Provider

Die ClickFix-Kampagnen treffen den deutschsprachigen Raum unter einer spezifischen Bedingung besonders hart: DACH-Unternehmen setzen überdurchschnittlich auf standardisierte SaaS-Plattformen wie Cloudflare, Stripe, oder AWS – genau die Services, deren Design und Messaging Angreifer perfekt imitieren können. Die kulturelle Gewohnheit im deutschsprachigen Raum, E-Mail-Links und Benachrichtigungen ernst zu nehmen, wird zusätzlich zur Gefahr.

Zusätzlich sind deutsche Hosting-Provider, Web-Designer und kleine IT-Dienstleister massiv exponiert: Viele betreiben noch ältere Content-Management-Systeme oder Administrations-Panels mit schwachen Authentifizierungsmechanismen – ideale Einstiegspunkte für ClickFix-Kampagnen, die dann auf Clientseite eskalieren. Die Daten von CTM360 deuten darauf hin, dass lokale Domain-Registrare und Hosting-Kontrollpanels zunehmend als Einfallstore missbraucht werden. Unter DSGVO und der EU-AI-Act-Logik trägt der betroffene Unternehmer die Verantwortung, wenn von seiner gehackten Webseite aus Malware verteilt wird – unabhängig davon, dass sein System das Opfer war.

Die Muse-Agent-Schwachstelle bei Meta ist für DACH relevant, weil autonome KI-Agenten zunehmend in Deutschland eingesetzt werden – sowohl von großen Unternehmen als Automation-Tools als auch von Entwicklern im Testing. Wenn ClickFix einen privilegierten Agent übernehmen kann, hat der Angreifer nicht nur Zugriff auf einen User-Account, sondern potenziell auf automatisierte Prozesse mit erhöhten Berechtigungen. Das ist ein neues, qualitativ anderes Risiko als ein kompromittierter klassischer User.

Take-away: Segment deine Authentifizierung, auch auf macOS

Die richtige Reaktion auf ClickFix ist nicht, Angestellte zu schulen – das hilft bestenfalls marginal. Die Lösung ist technisch: Implementiere konsequente Authentifizierung auf Basis von Hardware-Tokens oder FIDO2, nicht SMS oder ein zweites Passwort-Feld. ClickFix funktioniert, weil es auf den Austausch von Anmeldedaten abzielt. Ein gutes FIDO2-Setup kann das Phishing nicht verhindern, aber es macht die gestohlenen Daten wertlos.

Zweiter Punkt: Isoliere KI-Agenten wie Muse technisch vom restlichen System – nicht durch Versprechen, sondern durch Container, Sandbox-Isolation oder dedizierte Hardware. Wenn ein Agent kompromittiert wird, darf er nicht automatisch Zugriff auf Datei-Systeme, SSH-Keys oder weitere Netzwerk-Services haben. Dies gilt besonders für autonome Systeme, die im Pentesting oder in der Sicherheitsforschung eingesetzt werden – siehe auch unsere aktuelle Analyse zu KI-Agenten-Sicherheit.

Dritter Punkt: Überwache Domain-Resolutionen und DNS-Anfragen auf Anomalien. Die ClickFix-Kampagnen nutzen echte, vertrauenswürdige Domains – aber oft mit verdächtigen Subdomains oder Pfaden. Ein ausgereiftes KI-Agenten-Benchmarking – wie es die Cloud-Range-Industrie gerade etabliert – sollte auch ClickFix-Szenarien beinhalten: Kann ein Agent von einer manipulierten Authentifizierungs-Benachrichtigung getäuscht werden? Falls ja, ist das ein kritischer Defekt.