{"id":55423,"date":"2026-10-10T13:40:37","date_gmt":"2026-10-10T11:40:37","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=55423"},"modified":"2026-10-10T13:40:37","modified_gmt":"2026-10-10T11:40:37","slug":"clickfix-angriffe-google-ads-bing-redirects-55423","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/clickfix-angriffe-google-ads-bing-redirects-55423\/","title":{"rendered":"ClickFix-Angriffe missbrauchen Google Ads und Bing-Redirects"},"content":{"rendered":"<p>Eine neu entdeckte Malvertising-Kampagne nutzt eine raffinierte Kette aus legitimen Bing-Weiterleitungen und kompromittierten WordPress-Seiten, um Nutzer auf gef\u00e4lschte <a href=\"https:\/\/claude.ai\/download\" target=\"_blank\" rel=\"noopener noreferrer\" data-iacss-external=\"1\">Claude<\/a>-Installer zu locken. Die als \u201eAdception&#8220; bezeichnete Methode kombiniert vertrauensw\u00fcrdige Werbeplattformen mit mehrstufigen Verschleierungstechniken und stellt eine ernsthafte Bedrohung f\u00fcr macOS-Anwender dar. Sicherheitsforscher von Push Security haben die Kampagne aufgedeckt, die auf eine geschickte Schwachstelle im Zusammenspiel von Google Ads und dem Microsoft-eigenen Suchdienst setzt.<\/p>\n<h2>So funktionieren die ClickFix-Angriffe \u00fcber Bing-Redirects<\/h2>\n<p>Die Angreifer schalten bei Google Suchanzeigen, die auf den ersten Blick harmlos wirken: Als Ziel-URL wird nicht eine eigene Domain angegeben, sondern die vertraute Adresse <strong>bing.com<\/strong>. Wer nach \u201eclaude mac&#8220; sucht und auf die gesponserte Anzeige klickt, wird zun\u00e4chst durch Googles eigenen Werbeumleitungsdienst geschleust, bevor er den Tracking-Endpunkt <strong>bing.com\/ck\/a<\/strong> erreicht. Von dort aus erfolgt die Weiterleitung auf eine kompromittierte WordPress-Seite eines s\u00fcdamerikanischen Einzelh\u00e4ndlers. Diese Seite dient als Zwischenstation und leitet den Browser schlie\u00dflich auf <strong>claude-desk-code[.]com<\/strong> weiter \u2013 einer t\u00e4uschend echten Nachbildung der offiziellen Claude-Download-Seite.<\/p>\n<p>Der entscheidende Trick: Bing verwendet f\u00fcr seine eigenen Suchergebnis-Redirects JavaScript, um Besucher an ihr Ziel zu leiten. Diesen Mechanismus missbrauchen die Hacker, um den Datenverkehr so aussehen zu lassen, als k\u00e4me er direkt von Bing \u2013 ein Umstand, der es automatisierte Sicherheitsscanner erschwert, die b\u00f6sartige Absicht zu erkennen.<\/p>\n<h2>Mehrschichtige Tarnung und Cloaking<\/h2>\n<p>Die Kampagne setzt auf gleich zwei Schutzmechanismen, um Sicherheitspr\u00fcfungen zu umgehen. Die kompromittierte WordPress-Seite pr\u00fcft vor der Weiterleitung, ob der Besucher einen Bing-Referrer-Header mitbringt \u2013 also tats\u00e4chlich \u00fcber die Microsoft-Suche gekommen ist. Erst dann gibt sie die Verbindung frei. Die betr\u00fcgerische Claude-Seite ihrerseits \u00fcberpr\u00fcft per JavaScript, ob der Nutzer von Google oder Bing verwiesen wurde. Wer die URL direkt im Browser eingibt oder \u00fcber andere Wege kommt, wird auf eine harmlose 404-Fehlerseite umgeleitet. Auf diese Weise bleiben automatisierte Analysewerkzeuge der Sicherheitsbranche wirkungslos, w\u00e4hrend menschliche Opfer die ganze Angriffskette durchlaufen.<\/p>\n<h3>Der ClickFix-Mechanismus im Detail<\/h3>\n<p>Ziel der Kampagne sind in erster Linie macOS-Nutzer, die vermeintlich den KI-Client Claude installieren m\u00f6chten. Die gef\u00e4lschte Download-Seite zeigt eine originalgetreue Kopie der offiziellen Installationsanleitung von Anthropic. Der Nutzer wird aufgefordert, einen Terminal-Befehl auszuf\u00fchren: <strong>curl -fsSL https:\/\/claude.ai\/install.sh | bash<\/strong>. Dieser Befehl ist legitim und w\u00fcrde den echten Claude-Installer starten. Doch der Teufel steckt im Copy-Button: Kopiert der Anwender den angezeigten Befehl in die Zwischenablage, wird nicht der sichtbare, sondern ein manipulierter Befehl hinterlegt.<\/p>\n<p>Der ersetzte Befehl gibt zwar eine Meldung aus, dass Claude von der offiziellen Seite geladen werde \u2013 tats\u00e4chlich dekodiert er jedoch eine Base64-verschl\u00fcsselte URL, die auf <strong>lake-90[.]com<\/strong> verweist. Anschlie\u00dfend l\u00e4dt er mit curl eine <strong>.dat<\/strong>-Datei von diesem Server herunter und leitet deren Inhalt direkt in die macOS Z-Shell (<strong>zsh<\/strong>) zur Ausf\u00fchrung weiter. Der Nutzer sieht im Terminal die vermeintlich harmlose Ausgabe, w\u00e4hrend im Hintergrund ein vollst\u00e4ndig anderer, sch\u00e4dlicher Code abl\u00e4uft.<\/p>\n<h2>Welche Schadsoftware tats\u00e4chlich installiert wird<\/h2>\n<p>Welches finale Payload die Angreifer letztlich ausliefern, bleibt bislang unklar. Push Security konnten mehrere Domains identifizieren, die zum gleichen ClickFix-Toolkit geh\u00f6ren \u2013 intern als <strong>AcSig<\/strong> bezeichnet. Alle diese Domains verwenden einen identischen macOS-Installationsbefehl, eine nahezu baugleiche Payload-URL-Struktur und ein einheitliches Installationsinterface. Es ist wahrscheinlich, dass die Kampagne je nach Zielgruppe unterschiedliche Schadsoftware nachl\u00e4dt \u2013 von Informationsdieben \u00fcber Ransomware bis hin zu Hintert\u00fcren f\u00fcr den Fernzugriff.<\/p>\n<h2>Warum Unternehmen und Privatanwender jetzt handeln sollten<\/h2>\n<p>Die Adception-Methode zeigt eine besorgniserregende Entwicklung im Bereich der Malvertising-Kampagnen. Statt auf offensichtlich sch\u00e4dliche Domains zu setzen, nutzen Angreifer zunehmend die vertrauensw\u00fcrdige Infrastruktur gro\u00dfer Plattformen wie Google und Bing aus. Die mehrstufige Weiterleitung \u00fcber kompromittierte Websites macht eine Erkennung durch herk\u00f6mmliche Sicherheitsscanner nahezu unm\u00f6glich.<\/p>\n<p>F\u00fcr macOS-Anwender gilt daher besondere Vorsicht bei der Installation von Software \u00fcber Suchanzeigen: Wer einen Download-Befehl in die Zwischenablage kopiert, sollte diesen vor der Ausf\u00fchrung stets \u00fcberpr\u00fcfen. Ein einfacher Vergleich des tats\u00e4chlichen Befehlstextes im Terminal kann bereits die Entlarvung einer ClickFix-Falle bedeuten. Unternehmen sollten zudem ihre Besch\u00e4ftigten f\u00fcr diese Art von Angriffen schulen und technische Ma\u00dfnahmen wie Endpoint-Detection-and-Response-L\u00f6sungen einsetzen, die ungew\u00f6hnliche Shell-Ausf\u00fchrungsmuster erkennen k\u00f6nnen.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Eine neu entdeckte Malvertising-Kampagne nutzt eine raffinierte Kette aus legitimen Bing-Weiterleitungen und kompromittierten WordPress-Seiten, um Nutzer auf gef\u00e4lschte Claude-Installer zu locken. Die als \u201eAdception&#8220; bezeichnete Methode kombiniert vertrauensw\u00fcrdige Werbeplattformen mit mehrstufigen Verschleierungstechniken und stellt eine ernsthafte Bedrohung f\u00fcr macOS-Anwender dar. Sicherheitsforscher von Push Security haben die Kampagne aufgedeckt, die auf eine geschickte Schwachstelle im Zusammenspiel [&hellip;]<\/p>\n","protected":false},"author":5,"featured_media":55425,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/55423.png","fifu_image_alt":"ClickFix-Angriffe missbrauchen Google Ads und Bing-Redirects","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-55423","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/55423.png","fifu_image_alt":"ClickFix-Angriffe missbrauchen Google Ads und Bing-Redirects","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/55423","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=55423"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/55423\/revisions"}],"predecessor-version":[{"id":55424,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/55423\/revisions\/55424"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/55425"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=55423"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=55423"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=55423"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}