third-party.com: Platzhalter-Domain verbreitet ClickFix

Die Domain third-party.com wird in Entwicklerdokumentationen und Codebeispielen gern als Platzhalter für externe Websites verwendet. Inzwischen liefert sie eine gefälschte Cloudflare-Prüfseite aus. Die Seite soll Windows-Nutzer dazu bringen, schädliche PowerShell-Befehle auszuführen.

Manifold Security stieß auf die Seite, als das Unternehmen öffentliche KI-Skills und Dokumentationen von MCP-Servern (Model Context Protocol) untersuchte, in denen die Domain vorkam. BleepingComputer hat die Ergebnisse später bestätigt.

Entwickler nutzen third-party.com seit Langem so wie example.com: als Stellvertreter für eine beliebige fremde Website, Schnittstelle oder einen Dienst. Einen wichtigen Unterschied gibt es allerdings. Die IANA, die zentrale Namensressourcen des Internets verwaltet, reserviert example.com, example.net und example.org für Dokumentationszwecke. Diese Domains lassen sich weder registrieren noch übertragen. third-party.com genießt keinen solchen Schutz. Es ist eine ganz normal registrierte Domain, und wer sie besitzt, bestimmt, was sie ausliefert.

Ein falsches CAPTCHA und eine vergiftete Zwischenablage

Besucher sehen einen nachgeahmten Cloudflare-Bildschirm mit der Meldung „Performing security verification“ und einem Kontrollkästchen „Verify you are human“. Ein Klick darauf kopiert unbemerkt einen PowerShell-Befehl in die Windows-Zwischenablage. Anschließend fordert die Seite den Nutzer auf, Windows-Taste + R zu drücken, mit Strg+V einzufügen und die Eingabetaste zu betätigen.

Der Befehl setzt eine Payload-URL zusammen, elxxvvx[.]xyz/f, lädt von dort ein PowerShell-Skript herunter und führt es aus.

Das ist ein ClickFix-Angriff wie aus dem Lehrbuch. Falsche Fehlermeldungen, CAPTCHA-Abfragen oder Prüfseiten bringen Opfer dazu, kopierte Befehle selbst auszuführen. Weil der Nutzer den Befehl startet, muss keine Datei von einer Website heruntergeladen oder aus einem E-Mail-Anhang geöffnet werden. In manchen Fällen kann die Schadsoftware so an herkömmlichen Virenscannern vorbeikommen.

Als BleepingComputer die Seite testete, ließ sich elxxvvx[.]xyz nicht mehr auflösen, die aktuelle Angriffskette ist also unterbrochen. Ein VirusTotal-Scan vom 2. Mai 2026 zeigt, dass die Seite zuvor ein PowerShell-Skript auslieferte, das ein 131 MB großes ZIP-Archiv namens update2.zip herunterlud. Das Archiv ist verschwunden, sein Zweck bleibt daher unbekannt.

Nur Windows, und zwar mit Absicht

Laut Ax Sharma von Manifold zielt der Köder ausschließlich auf Windows-Nutzer. Wer mit macOS oder Linux vorbeischaut, bekommt eine ähnlich aussehende Seite, die mit einer Fehlermeldung endet.

„Ein macOS- oder Linux-User-Agent bekommt nichts davon zu sehen. Er erhält eine nahezu identische Seite, die bei einer Fehlermeldung stehen bleibt: ‚macOS is not supported. This website requires a Windows PC to access.‘ Keine manipulierte Zwischenablage, keine Payload“, erklärte Sharma.

„Der Angreifer zeigt die Waffe nur den Zielen, bei denen sie funktioniert. Genau deshalb fällt bei einem flüchtigen Blick oder einem Scanner auf einer Linux-Rechenzentrums-IP nichts auf.“

Jahrelange Verweise in vertrauenswürdigen Projekten

Was diese Kampagne heraushebt, ist die Wahl der Domain. third-party.com taucht überall in öffentlichen technischen Dokumentationen auf. Die W3C-Spezifikation für Geolocation nutzt sie, um zu zeigen, wie man einem externen iframe Standortberechtigungen erteilt. Die W3C-Spezifikation Compute Pressure verwendet sie, um zu demonstrieren, wie eine Website die Schnittstelle für fremde Inhalte freigeben kann. In der Dokumentation der Telemetry Extension API von Chromium wird sie als Beispiel für eine Website geführt, die mit einer Chrome-Erweiterung kommunizieren darf.

Manche Beispiele gehen noch weiter und würden echte Netzwerkanfragen auslösen, wenn man sie unverändert übernimmt. Ein PrivacyCG-Vorschlag auf GitHub etwa verwendet die Domain als Ziel eines JavaScript-Aufrufs von fetch() aus einem Service Worker.

Und Entwickler kopieren solche Schnipsel tatsächlich. In einer Stack-Overflow-Frage aus dem Jahr 2015 schilderte ein Entwickler, wie er ein Beispiel für asynchrones Laden mit https://third-party.com/resource.js in seine Website eingebaut hatte und nach der Veröffentlichung feststellte, dass es nicht wie erwartet funktionierte.

„third-party[.]com ist seit Jahren ein generischer Platzhalter in Dokumentationen, dieselbe Rolle, die example.com spielt“, so Manifold. „Eine öffentliche Codesuche findet ihn in Skills, MCP-Server-Dokumentationen und in über 1.500 Dateien in mehr als 1.700 Repositorys, darunter so vertrauenswürdige Namen wie Chromium, Sanity und Vercel. Spätestens seit Juni 2026 liefert er den ClickFix-Köder aus.“

Das heißt nicht, dass diese Projekte oder ihre Dokumentationen kompromittiert wurden. Das Risiko liegt bei Anwendungen oder Testcode, die die Platzhalter-URLs wörtlich übernommen haben. Diese könnten nun dazu führen, dass ein Browser oder ein automatisiertes Werkzeug die aktive Domain aufruft und den Köder anzeigt.

Die Domain wurde erstmals 1996 registriert, lange vor dieser Kampagne. BleepingComputer konnte nicht klären, wann oder wie die Kontrolle darüber wechselte. Es gibt auch keine Hinweise darauf, dass sie gezielt für bösartige Zwecke registriert wurde. Bislang hat niemand gemeldet, dass wegen dieser Verweise tatsächlich ClickFix-Angriffe auf Entwicklerrechnern oder in Apps abgelaufen sind. Die Domain ist allerdings weiterhin aktiv, und ihre Betreiber könnten sie jederzeit auf einen neuen, funktionierenden Payload-Server umleiten.

Unsere Einschätzung

Der Fall zeigt, wie eine alte Konvention zur Angriffsfläche werden kann. Entwickler halten example.com für sicher, weil die Domain reserviert ist. Viele dürften dasselbe von third-party.com angenommen haben, ohne zu prüfen, wem sie gehört. Es lohnt sich, Codebasen, Testdaten und interne Dokumentationen nach nicht reservierten Platzhalter-Hostnamen zu durchsuchen und sie durch example.com oder Ähnliches zu ersetzen.

Die ClickFix-Methode selbst taucht immer wieder auf. Angreifer haben sie bereits genutzt, um Mac-Schadsoftware zu verbreiten, etwa bei früheren Versionen des Infostealers MacSync. Die Beschränkung auf Windows deutet zudem darauf hin, dass die Betreiber immer besser darin werden, sich vor automatisierten Scannern zu verstecken.

Auch der Fundweg ist bemerkenswert. Manifold entdeckte die Domain in KI-Skills und MCP-Server-Dokumentationen. Das legt nahe, dass KI-Agenten und Werkzeuge, die URLs aus Dokumentationen abrufen, in solche Fallen tappen könnten, ähnlich wie bei den Risiken, wenn Angreifer KI-Agenten kapern. Es bleibt abzuwarten, ob die Domain mit einer funktionierenden Payload reaktiviert wird und ob andere nicht reservierte Platzhalter-Domains ähnlich missbraucht werden.