Windows-Taste + X öffnet die Auswahloptionen, mit „I“ öffnen Sie das Windows-Terminal-Fenster, mit Strg + V fügen Sie den Code aus der Zwischenablage in das Befehlsfenster ein, und mit Enter bestätigen Sie den Befehl.
Achtung: Sie sehen den kopierten Inhalt zunächst nicht, sondern erst, wenn Sie ihn im Windows-Terminal einfügen.
Nach der Bestätigung mit Enter laden Sie als Anwender die Schadsoftware unsichtbar im Hintergrund selbst herunter und helfen den Angreifern sogar dabei, sie zu starten. Eine echte Cloudflare-Prüfung würde niemals das Windows Terminal oder PowerShell benötigen.
Warum PowerShell für die Betrüger so wichtig ist
PowerShell selbst ist kein Schadprogramm, sondern gehört zu Windows. Das Werkzeug kann auf einem Windows-Rechner Befehle ausführen, Dateien herunterladen und Programme starten. Genau deshalb nutzen Angreifer PowerShell immer wieder als Bestandteil von Angriffen. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) weist darauf hin, dass Angreifer Kommandozeileninterpreter wie PowerShell nach einem ersten Zugriff häufig zum Nachladen oder Ausführen von Schadcode nutzen.
Woran Sie den Betrugsversuch erkennen
Den Betrugsversuch zu erkennen, ist schwierig. Denn die eigentliche Cloudflare-Technik ist seriös. Cloudflare Turnstile dient normalerweise dazu, zwischen menschlichen Besuchern und automatisierten Zugriffen zu unterscheiden. Dabei laufen im Browser verschiedene Prüfungen ab. Je nach Risiko kann Turnstile eine Checkbox anzeigen oder die Prüfung sogar vollständig im Hintergrund durchführen.
Wenn eine vermeintliche Cloudflare-Prüfung Sie auffordert, Windows Terminal oder eine andere Eingabeaufforderung zu öffnen, um dort einen unbekannten Befehl einzufügen, sollten Sie sofort abbrechen. Drücken Sie auch nicht einfach Enter, nur weil die Webseite Ihnen versichert, dass Sie damit die Verifizierung abschließen.
Achten Sie deshalb auf einen einfachen Grundsatz: Eine Webseite sollte Ihnen niemals erklären müssen, welchen Windows-Befehl Sie ausführen sollen, um zu beweisen, dass Sie ein Mensch sind. Wenn Sie Zweifel haben, schließen Sie die Seite.
Was passiert, wenn Sie auf Enter gedrückt haben?
Dann sollten Sie die Sache ernst nehmen – auch wenn auf dem Bildschirm scheinbar nichts passiert. In der von Microsoft untersuchten TerminalFix-Kampagne löst der eingefügte PowerShell-Befehl zunächst einen mehrstufigen Angriff aus. Er lädt unter anderem ein Archiv aus dem Internet herunter, entpackt Dateien auf dem Computer und startet anschließend weitere Komponenten.
Dabei nutzten die Angreifer sogar eine legitime, signierte Windows-Datei als Teil der Angriffskette. Daneben platzierten sie eine manipulierte DLL. Diese Technik nennt sich DLL-Sideloading. Anschließend luden die Angreifer weitere Schadprogramme nach und versteckten Daten sogar in scheinbar harmlosen PNG-Bildern.
Hinzu kommt: Die untersuchte Schadsoftware suchte gezielt Informationen über das Netzwerk und konnte einen sogenannten Reverse-Tunnel aufbauen. Dadurch konnte der betroffene Rechner als Zugang zum internen Netzwerk dienen. Microsoft betont deshalb, dass Sie betroffene Geräte als potenzielle Ausgangspunkte für weitere Angriffe behandeln sollten.
