Claude auf claude.ai: Zwei Malware-Kampagnen verbreiten gefälschte Anleitungen
Veröffentlicht am: 27.10.2026 um 19:33 Uhr | Redaktion boerse-global.de
Sicherheitsforscher des Softwarekonzerns Gen Digital, zu dem Marken wie Norton und Avast gehören, haben zwei raffinierte Malware-Kampagnen aufgedeckt.
Wie das Unternehmen in einem am 26. Oktober 2026 veröffentlichten Bericht darlegte, nutzten Cyberkriminelle offizielle Funktionen des KI-Dienstes Claude, um gefälschte Installationsanleitungen direkt auf der legitimen Domain des Anbieters bereitzustellen. Ziel der Angreifer war es, Schadsoftware auf die Rechner von Windows- und macOS-Nutzern zu schleusen.
Gefälschte Anleitungen über Google-Anzeigen verbreitet
Nach Angaben von Gen Digital kompromittierten die Angreifer nicht die zugrunde liegende Infrastruktur des KI-Entwicklers Anthropic. Stattdessen missbrauchten sie die regulären Plattformfunktionen „Artifacts“ und „Shared Chats“, um schädliche Inhalte unter Webadressen wie claude.ai/share/ und claude.ai/artifact/ abzulegen. Da die Links auf die echte Domain des Dienstes verwiesen, wirkten die Seiten auf potenzielle Opfer vertrauenswürdig.
Um Reichweite zu erzielen, schalteten die Täter bezahlte Werbeanzeigen bei Google, die bei entsprechenden Suchanfragen ganz oben in den Ergebnissen erschienen. Laut dem Bericht wiesen die Links spezifische Tracking-Parameter auf.
Wer sich vor solch raffinierten Angriffen schützen möchte, findet in diesem kostenlosen Experten-Report die wichtigsten Schritte, um das eigene System in wenigen Minuten effektiv abzusichern. Gratis-Ratgeber: Schutzmaßnahmen gegen Hacker jetzt herunterladen
Mehrere rotierende Inhalte waren dabei an zwei Werbekampagnen gekoppelt, wie der Bedrohungsanalyst Vojt?ch Moravec in der Untersuchung ausführte. Als legitime Bezugsquelle für die Software gelte hingegen ausschließlich claude.com/download.
Gezielte Angriffe auf macOS und Windows
Die Täter passten ihre Angriffsmethoden an das jeweilige Betriebssystem der Opfer an:
- Angriff auf macOS: Auf der Plattform wurde Nutzern eine sogenannte ClickFix-Aufforderung mit Titeln wie „Install on macOS“ oder „Quick install via Terminal“ angezeigt. Wer den dort bereitgestellten verschleierten Terminal-Befehl ausführte, lud den Schadcode Atomic macOS Stealer (AMOS) nach. Die Malware prüft den Vollzugriff auf die Festplatte, blendet einen gefälschten Systemeinstellungs-Passwortdialog ein und sammelt Passwörter, Cookies, Schlüsselbunddaten, Dokumente und Krypto-Wallets, um sie als Archivdatei hochzuladen. Zudem ersetzt AMOS Anwendungen wie Ledger Live, Ledger Wallet und Trezor Suite durch manipulierte Kopien, um Wiederherstellungsphrasen abzugreifen und an fremde Server zu senden.
- Angriff auf Windows: Über eine Anleitung namens „Install Claude on Windows“ wurden Anwender instruiert, Tastenkombinationen zur Ausführung eines Befehls zu drücken. Ein PowerShell-Befehl lud anschließend über GitHub eine verschlüsselte Payload nach. Dabei handelte es sich um einen Remote-Access-Trojaner, der Sicherheitssoftware überprüft, Screenshots anfertigt, Fenstertitel mitschneidet und gezielt nach Wallets für Kryptowährungen wie Bitcoin, Ethereum, Electrum, Exodus und Ledger sucht.
Angesichts immer komplexerer Spionage-Programme und Trojaner ist ein fundiertes Sicherheitskonzept für den eigenen Rechner unerlässlich. Dieser kostenlose Leitfaden zeigt Ihnen, wie Sie unsichtbare Gefahren entlarven und Ihren PC zur Festung gegen Cyberattacken machen. Kostenloses Anti-Virus-Paket für Windows-Nutzer sichern
Gen Digital machte keine Angaben dazu, ob die betrügerischen Seiten inzwischen entfernt wurden. Der Plattformbetreiber Anthropic gab zu den Vorfällen zunächst keine Stellungnahme ab.
