Google führt eine Schutzfunktion für Chrome ein, die ClickFix-Angriffe unterbrechen soll, bevor Nutzer schädliche Befehle außerhalb des Browsers ausführen. Die Funktion gilt nur für Personen, die Enhanced Protection aktiviert haben, laut Google-Ankündigung wie The Hacker News berichtet.
ClickFix setzt auf Überzeugung statt auf einen herkömmlichen Browser-Download. Eine Phishing-Seite zeigt einen gefälschten Verifizierungsschritt oder eine erfundene Fehlermeldung und fordert das Opfer dann auf, einen Befehl in den Windows-Ausführen-Dialog oder in das Terminal unter macOS zu kopieren. Bei der Ausführung kann eine mehrstufige Infektion beginnen, die Informationsdiebstahl-Malware oder einen Remote-Access-Trojaner installiert.
Chrome analysiert verdächtige Befehle, die von Webseiten kopiert werden
Opfer können über schädliche Werbung oder Weiterleitungen von kompromittierten, eigentlich seriösen Websites auf ClickFix-Seiten gelangen. Die Seiten imitieren häufig Prüfungen von Cloudflare oder Google reCAPTCHA und behaupten, dass das Einfügen eines vorgegebenen Befehls nötig sei, um fortzufahren.
Die kopierten Anweisungen können integrierte Dienstprogramme wie PowerShell oder cmd.exe aufrufen, um Payloads der späteren Phasen nachzuladen. Da diese Aktivität über das Betriebssystem statt über den üblichen Download-Vorgang von Chrome abläuft, kann sie nach Angaben von Google die etablierten Download-Prüfungen von Safe Browsing umgehen.
Der neue Ansatz von Chrome verlagert die Erkennung früher in den Ablauf. Kopiert ein Nutzer mit Enhanced Protection ein mögliches ClickFix-Skript, entfernt Chrome laut Google persönliche Daten aus dem Inhalt der Zwischenablage und übermittelt den verbleibenden Befehl zur Bewertung an Safe Browsing. Stuft der Dienst ihn als gefährlich ein, zeigt der Browser eine Warnung an, bevor der Nutzer ihn ausführt.
Der Schutz gilt nicht für Chrome-Nutzer, die Enhanced Protection nicht aktiviert haben. Außerdem setzt er bei der Phase des Kopierens und Einfügens an, statt Befehle ungefährlich zu machen. Nutzer sollten jede Aufforderung einer Website, den Ausführen-Dialog oder das Terminal zu öffnen und unbekannten Code einzufügen, als möglichen Kompromittierungsversuch behandeln.
Betrugserkennung geht über kopierte Skripte hinaus
Google fügt für Nutzer mit Enhanced Protection außerdem zwei Klassifizierungen in Safe Browsing hinzu:
- Verdächtige Websites, die täuschende Merkmale aufweisen, wie sie auch bei bekannten schädlichen Seiten vorkommen.
- Gefährliche Websites, die bekanntermaßen schädlich sind und ein hohes Schadensrisiko bergen.
Das Unternehmen erweitert seine Arbeit an lokal ausgeführten großen Sprachmodellen, um Betrug mit angeblichem technischem Support, gefälschte Antivirenwarnungen und betrügerische Browser-Update-Aufforderungen zu erkennen. Laut Google prüft das Modell, für welche Marke sich eine Seite ausgibt, welchen erkennbaren Zweck sie verfolgt und wie hoch die berechnete Wahrscheinlichkeit für Betrug ist.
Dem Unternehmen zufolge wird der Seitentext erst analysiert, nachdem eine Website eindeutige Betrugssignale mit hoher Treffsicherheit zeigt. Google zufolge werden Inhalte, die vom Gerät gesendet werden, nur flüchtig verarbeitet, statt protokolliert, gespeichert oder zum Trainieren der Modelle verwendet. Dies sind Googles Angaben zur Funktionsweise des Systems und zum Umgang mit Daten.
Safari 27 zielt auf dauerhafte Identitätsauflösung
Apple führt mit den Versionen iOS, iPadOS, macOS und visionOS 27 einen eigenen Browserschutz ein. Im Mittelpunkt steht die Identitätsauflösung, eine Tracking-Methode, bei der ein Drittanbieter eine E-Mail-Adresse erhält, die bei einer Anmeldung oder Newsletter-Registrierung eingegeben wurde, und sie einer dauerhaften Kennung zuordnet.
Das Entwicklerteam von WebKit bei Apple erklärt, dass der Tracking-Anbieter eine undurchsichtige ID an die Website zurückgeben kann, wo sie für späteres Profiling oder seitenübergreifende Werbung gespeichert wird. Der Drittanbieter kann die E-Mail-Adresse nutzen, um einen Identitätsgraphen mit weiteren Informationen aufzubauen, der möglicherweise Name, Wohnadresse, Telefonnummer und IP-Adresse umfasst.
Laut Apple entfernt das Abmelden oder Abbestellen allein weder die Kennung noch die E-Mail-Adresse, die der Drittanbieter gespeichert hat. Das Blockieren seitenübergreifender Cookies reicht daher nicht aus, um diese Form des Trackings zu stoppen.
Die Gegenmaßnahme von Safari blockiert auf Domain-Ebene Netzwerkverbindungen zu eingebetteter Infrastruktur für die Identitätsauflösung. Apple zufolge verhindert dies, dass die Seite die E-Mail-Adresse überhaupt an den Tracking-Anbieter übermittelt.
Für Chrome-Nutzer liegt der unmittelbare praktische Unterschied in der Konfiguration: Die Analyse von ClickFix-Befehlen wird über Enhanced Protection bereitgestellt. Auch wenn diese Einstellung aktiv ist, sollten unerwartete Aufforderungen, Befehle in Betriebssystemwerkzeuge einzufügen, abgebrochen statt ausgeführt werden.
