Een Duitse overheidsinstantie is onlangs gehackt via een zogenaamde Cloudflare-captcha, ook wel een ClickFix-aanval genoemd. Dat meldt het Bundesamt für Sicherheit in der Informationstechnik (BSI), onderdeel van het Duitse ministerie van Binnenlandse Zaken. Om welke instantie het precies gaat laat het BSI niet weten. Eerder dit jaar werd de gemeente Epe ook via een ClickFix-aanval gehackt.

Bij een ClickFix-aanval plaatsen aanvallers vaak op gehackte websites malafide code. Bezoekers van de gehackte website krijgen hierdoor een zogenaamde captcha te zien, inclusief instructies. Voor het oplossen van de 'captcha' moet een commando op het systeem worden uitgevoerd. Dat commando wordt al door de malafide captcha naar het clipboard van de bezoeker gekopieerd. Die krijgt vervolgens instructies om de Run Dialog, de Windows Terminal of PowerShell te starten en daarin het commando te plakken en uit te voeren.

Via het commando wordt malware op het systeem geïnstalleerd. Aanvallers gebruiken vaak het Run Dialog voor ClickFix-aanvallen, maar een aantal dagen geleden meldde Microsoft een aanvalscampagne waarbij de Windows Terminal en PowerShell werden ingezet. Volgens het techbedrijf vergroot dit de kans dat complexe scripts die uit meerdere regels bestaan succesvol worden uitgevoerd.

Volgens het BSI toont de ClickFix-aanval op de niet nader genoemde Duitse overheidsinstantie veel overeenkomsten met de aanvalscampagne die Microsoft beschrijft. Verder stelt het BSI dat het meerdere meldingen heeft ontvangen dat aanvallers via de ClickFix-aanvallen proberen om data te stelen en ransomware uit te rollen. Om de aanvallen tegen te gaan wordt onder andere aangeraden om het gebruik van PowerShell te beperken.