// HEISE ONLINE — CYBERSECURITY
BSI erklärt ersten Angriffsvektor auf Berliner Behörden
Erst Phishing, dann ein Fake-Captcha und ein Terminal-Befehl – so einfach lief nach ersten Analysen die Cyberattacke auf Berlin ab.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor einer neuen Angriffskampagne namens „TerminalFix“. Die Behörde bezieht sich dabei auf eine Analyse von Microsoft. Brisant: TerminalFix war wohl für Cyberkriminelle die Eintrittskarte zu Netzen des Berliner Senats. Der Mitte August bekannt gewordene Angriff führte zu einem massiven Datenabfluss mit teils kritischen Informationen.
Dass es sich bei der Methode TerminalFix um den von der Cyberbande Rhysida genutzten Angriffsvektor handelt, hat das BSI in einem Beitrag bei Mastodon bestätigt. Diese Information findet sich zwar nicht in der BSI-Sicherheitsmitteilung (BITS) des Amtes (PDF). Auf Mastodon verweist das BSI jedoch direkt auf diese Mitteilung. Damit steht fest: Die Senatsverwaltungen für Bauen und Verkehr wurden per TerminalFix attackiert.
Dabei handelt es sich um eine Variante der Malware-Kampagne „ClickFix“, vor der Microsoft schon im Februar 2026 gewarnt hat. Wie bereits ausführlich beschrieben, werden Nutzer mit ClickFix trickreich dazu gebracht, das Windows-Terminal auszuführen. Dort ist die PowerShell verfügbar, über die dem Betriebssystem Befehle etwa zum Kopieren von Dateien oder zum Ausführen von Programmen gegeben werden können.
TerminalFix unterscheidet sich von ClickFix vor allem dadurch, dass nicht das direkte Ausführen von Befehlen per [Windows] + [R] (wie „run“), sondern das Windows-Terminal durch [Windows] + [X] mit einem anschließenden Druck auf die Taste [I] für direkten Zugang zur PowerShell genutzt wird.
Über die PowerShell wird dann ein bösartiger Befehl ausgeführt, welchen der Nutzer aus der Zwischenablage einfügen muss. Dort befindet er sich, weil er von einer manipulierten Webseite vor diesen Aktionen per JavaScript dorthin kopiert wurde. Diese Webseiten spiegeln, so Microsoft, ein gefälschtes Captcha von Cloudflare vor. Hier liegt dann auch ein wenig Social Engineering vor, denn: Die echten Captchas von Cloudflare müssen, um effektiv zu sein, immer ein wenig anders aussehen und vom Nutzer verschiedene Dinge verlangen. Dass man dann auch mal ein paar Tasten drücken und nicht nur etwas anklicken muss, fällt unbedarften Benutzern vielleicht nicht sofort auf.
Der Befehl, der in der PowerShell landet, lädt per Skript im Hintergrund die erste Malware der Angreifer von deren Systemen herunter. Im Vordergrund fordert die manipulierte Webseite mit dem Fake-Captcha zu weiteren Aktionen auf. Der Nutzer ist also abgelenkt, während sein PC infiziert wird. Das Skript ruft unter anderem die signierte und gutartige Windows-Datei „LockScreenContentServer.exe“ auf, über die per Sideloading dann ein Teil der Malware als „dui70.dll“ installiert wird. Der Code darin lädt PNG-Bilddateien von den Angreifern herunter, in denen per Steganografie weitere Programme und DLLs versteckt sind.
Anschließend nistet sich das Paket an Schadsoftware persistent, also dauerhaft, per Registry-Keys auf dem angegriffenen System ein. Alle 60 Minuten prüft die Malware, ob sie noch läuft, und lauscht nach neuen Befehlen der Angreifer. Diese richten auch einen SOCKS-Proxy ein, haben also durch einen Tunnel Zugriff auf das Netz der attackierten Organisation. Was der Nutzer dort tut, kann also überwacht und abgefangen werden, sofern nicht alles sinnvoll verschlüsselt ist. Wie bei professionellen Angriffen üblich, werden all diese Aktionen verschleiert, unter anderem, indem die Dateien und Verzeichnisse vor bloßem Anzeigen im Windows-Explorer versteckt werden.
In der Folge hören die Angreifer also mit und haben mindestens Zugriff auf die lokalen Dateien des Nutzers und auf die Verzeichnisse, die er abrufen kann. Von dort aus können sie sich weiterhangeln. Da bei den Berliner Behörden – wie bereits bestätigt wurde – auch Passwortlisten im Klartext geführt wurden, hatte Rhysida wohl relativ leichtes Spiel. Wie es dazu kam, dass die Krimin