Ransomware-Risiko
Forescout deckt neue ClickFix-Angriffsketten und Malware-Plattform ROMULUS auf
ClickFix und ROMULUS: Neue Malware-Angriffe erhöhen das Ransomware-Risiko
Ein vermeintlich harmloser Klick, eine gefälschte Fehlermeldung und schon beginnt eine Infektionskette, die im schlimmsten Fall mit einem Ransomware-Angriff endet. Cyberkriminelle haben die Angriffsmethode ClickFix inzwischen zu einem ausgefeilten Verbreitungsmechanismus für Schadsoftware weiterentwickelt. Neue Untersuchungen von Forescout Vedere Labs zeigen, wie professionelle Malware-Loader, versteckte Kommunikationskanäle und modulare Angriffsplattformen ineinandergreifen.
Was zunächst wie eine gewöhnliche technische Fehlermeldung oder Sicherheitsüberprüfung aussieht, kann für Unternehmen weitreichende Konsequenzen haben. Bei der Angriffsmethode ClickFix manipulieren Cyberkriminelle ihre Opfer gezielt dazu, vermeintliche Reparaturbefehle selbst auszuführen. Damit umgehen sie klassische Sicherheitsmechanismen, denn die eigentliche Infektion wird durch eine bewusste Nutzeraktion ausgelöst.
Wie professionell diese Angriffe mittlerweile organisiert sind, zeigen zwei aktuelle Analysen von Forescout Research – Vedere Labs: „From ClickFix to C2 “ und „ROMULUS “. Die Forschungsergebnisse verdeutlichen, dass ClickFix längst über einfache Social-Engineering-Angriffe hinausgeht. Dahinter stehen zunehmend komplexe Infektionsketten, wiederverwendbare Angriffsinfrastrukturen und Malware-Komponenten, die sich flexibel kombinieren lassen.
Vom gefälschten Reparaturhinweis zur Ransomware-Infektion
Wie gefährlich diese Entwicklung ist, zeigt ein realer Sicherheitsvorfall von Ende September 2026. Angreifer nutzten ClickFix, um den sogenannten Lorem-Ipsum-Loader auf einem kompromittierten System zu installieren. Dieser lud anschließend einen Python-basierten Tunnel-Client nach, der eine weitere Kommunikation mit der Infrastruktur der Angreifer ermöglichte.
Nach Einschätzung von Forescout deuteten die Aktivitäten darauf hin, dass die Angreifer letztlich Ransomware verbreiten wollten. Die Infektionskette konnte jedoch unterbrochen werden, bevor es zur Verschlüsselung von Daten kam.
Besonders brisant ist die mögliche Verbindung zu etablierten Ransomware-Akteuren. Andere Sicherheitsforscher bringen den Lorem-Ipsum-Loader mit der Gruppierung Vice Society in Verbindung, die bereits mit Ransomware-Familien wie Rhysida, BlackCat und Quantum Locker in Zusammenhang gebracht wurde.
Die Forscher identifizierten außerdem einen zusätzlichen Infektionsweg über einen manipulierten Microsoft-Teams-Installer. Damit erweitern die Angreifer ihre Möglichkeiten, schädlichen Code unter dem Deckmantel vertrauenswürdiger Software zu verbreiten.
Auch die Kommunikation mit den Steuerungsservern ist auf Flexibilität ausgelegt. Die Angreifer hinterlegen deren Adressen in einem Nutzerprofil auf einer öffentlich zugänglichen Website. Dadurch können sie die verwendeten Server jederzeit austauschen, ohne die bereits installierte Malware verändern zu müssen.
Malware-Loader werden zunehmend austauschbar
Ein weiterer Schwerpunkt der Untersuchung ist die technische Verwandtschaft zwischen dem Lorem-Ipsum-Loader und der Malware-Familie Axolotl.
Forescout analysierte fünf Lorem-Ipsum-Samples aus dem dokumentierten Vorfall sowie 39 Axolotl-Samples. Dabei entdeckten die Forscher auffällige Gemeinsamkeiten: Beide Loader verwenden dasselbe Kommunikationsprotokoll und greifen teilweise auf identische Infrastruktur zurück. Diese Übereinstimmungen legen nahe, dass Lorem-Ipsum eine Weiterentwicklung von Axolotl sein könnte. Ein eindeutiger Nachweis für diese Verbindung liegt bislang allerdings nicht vor.
Zusätzlich identifizierte Vedere Labs drei unterschiedliche Axolotl-Varianten, die sich jeweils als legitime Anwendungen ausgeben.
Die Erkenntnisse verdeutlichen einen wichtigen Trend: Cyberkriminelle müssen nicht für jede Angriffskampagne eine vollständig neue Schadsoftware entwickeln. Stattdessen können sie vorhandene Komponenten modifizieren, kombinieren und über unterschiedliche Infektionswege verbreiten.
ROMULUS: Eine Plattform für die industrielle Malware-Verbreitung
Noch deutlicher wird die Professionalisierung der Angriffe durch die Entdeckung von ROMULUS. Dabei handelt es sich um eine bislang unbekannte Plattform, mit der Angreifer unterschiedliche Schadprogramme über ClickFix-Kampagnen verteilen können. Im Rahmen ihrer Untersuchungen stießen die Sicherheitsforscher zunächst auf ein Administrationspanel und identifizierten anschließend sechs Server, auf denen ROMULUS-Instanzen betrieben wurden.
Anders als bei herkömmlichen Malware-Kampagnen steht hier nicht ein einzelner Schadcode im Mittelpunkt. ROMULUS fungiert vielmehr als wiederverwendbare Infrastruktur, über die unterschiedliche Payloads bereitgestellt und Kampagnen gesteuert werden können.
Bemerkenswert ist die integrierte Statistikfunktion. Das System erfasst unter anderem Installationen, erfolgreiche Ausführungen und die geografische Verteilung der Opfer.
Damit erinnert ROMULUS an ein professionelles Kampagnen-Dashboard, wie es aus dem digitalen Marketing bekannt ist – nur dass hier nicht Werbekontakte, sondern erfolgreiche Malware-Infektionen ausgewertet werden. Wer die Plattform entwickelt hat oder betreibt, konnten die Forscher bislang nicht feststellen. Möglich sind eine privat genutzte Infrastruktur, ein kommerzieller Dienst für Cyberkriminelle oder ein Affiliate-Modell, bei dem mehrere Angreifer dieselbe Plattform verwenden.
880 Megabyte Malware als Schutz vor Sicherheitsanalysen
Besonders aufschlussreich sind die Tarnmechanismen, die Forescout im Zusammenhang mit ROMULUS dokumentiert.
Ein Infektionsweg nutzt einen manipulierten Installer der legitimen Software Stardock DeElevation. Dieselbe Malware war bereits in einer Angriffskampagne aufgefallen, bei der ChatGPT Custom GPTs missbraucht wurden.
Darüber hinaus entdeckten die Forscher einen neuen Verbreitungsweg für den LegionLoader. Diese Malware kann unter anderem sensible Browserdaten aus Google Chrome abgreifen. Um Sicherheitskontrollen zu umgehen, setzen die Angreifer auf eine ungewöhnliche Methode: Die eigentliche Schaddatei wird künstlich auf rund 880 Megabyte vergrößert. Das herunterladbare Archiv bleibt dagegen kleiner als ein Megabyte. Erst nach dem Entpacken entsteht die erheblich größere Datei.
Der Hintergrund ist eine gezielte Umgehung technischer Analysegrenzen. Viele Sandbox-Umgebungen und Virenscanner begrenzen die Dateigröße, die sie automatisch untersuchen. Überschreitet eine Datei diese Schwellenwerte, kann sie unter Umständen der Analyse entgehen.
Die Angreifer nutzen damit keine klassische Sicherheitslücke, sondern eine betriebsbedingte Einschränkung der Schutzsysteme aus.
ClickFix zeigt, wie sich Cyberangriffe industrialisieren
Die Untersuchungen von Forescout Vedere Labs machen deutlich, dass ClickFix nicht mehr als isolierte Social-Engineering-Methode betrachtet werden sollte.
Vielmehr entwickelt sich daraus ein zunehmend arbeitsteiliges Angriffsmodell. Die Täuschung der Nutzer bildet lediglich den Einstieg. Anschließend übernehmen spezialisierte Loader, modulare Malware-Komponenten und flexible Steuerungsinfrastrukturen die weitere Infektion. Plattformen wie ROMULUS könnten diese Entwicklung zusätzlich beschleunigen, weil sie technische Hürden für die Durchführung professioneller Malware-Kampagnen senken.
Für Unternehmen entsteht daraus eine doppelte Herausforderung. Einerseits müssen Mitarbeitende erkennen, dass vermeintliche Browserfehler, Sicherheitsprüfungen oder Reparaturanweisungen gezielt zur Ausführung schädlicher Befehle verleiten können.
Andererseits reichen Awareness-Maßnahmen allein nicht aus. Entscheidend sind ebenso die Überwachung verdächtiger Prozessausführungen, die Erkennung ungewöhnlicher Netzwerkverbindungen und die Möglichkeit, kompromittierte Systeme frühzeitig zu isolieren.
Die eigentliche Gefahr von ClickFix liegt nicht allein im ersten Klick, sondern in der Geschwindigkeit und Professionalität der nachfolgenden Infektionskette. Wer diese rechtzeitig unterbrechen kann, verhindert möglicherweise, dass aus einer einzelnen Nutzeraktion ein unternehmensweiter Ransomware-Vorfall wird.
