MacSync-Stealer: Cyberkriminelle nutzen Claude-KI-Fakes gegen macOS
Veröffentlicht am: 19.08.2026 um 16:53 Uhr | Redaktion boerse-global.de
Sicherheitsexperten des IT-Unternehmens Huntress warnen vor einer neuen Kampagne, bei der Cyberkriminelle den sogenannten MacSync-Stealer verbreiten. Die Angreifer nutzen dabei das Interesse an modernen KI-Werkzeugen aus, indem sie gefälschte Installationsanleitungen für „Claude-Code“ einsetzen.
Die Schadsoftware zielt gezielt auf macOS-Nutzer ab, um sensible Informationen wie Anmeldedaten und Wiederherstellungsphrasen für Kryptowährungs-Wallets zu entwenden.
Manipulierte Werbeanzeigen und gefälschte Websites
Der Angriff beginnt laut den vorliegenden Erkenntnissen bereits in der Suchmaschine. Die Hintermänner schalten bezahlte Google-Anzeigen, die Nutzer auf eine präparierte Webseite führen. Diese imitiert die legitime Domäne claude.ai und bietet scheinbar hilfreiche Anleitungen zur Installation von KI-Anwendungen an. In diesen Anleitungen werden die Opfer dazu verleitet, einen bösartigen curl-Befehl auszuführen.
Wer sich mit den neuen Möglichkeiten von KI-Systemen befasst, muss auch die rechtlichen Rahmenbedingungen und Sicherheitsvorgaben im Blick behalten. Dieser kostenlose Umsetzungsleitfaden bietet einen kompakten Überblick über Pflichten und Risikoklassen der aktuellen EU-Gesetzgebung. EU-KI-Verordnung: Jetzt kostenloses E-Book sichern
Dieser Befehl ist Base64-verschlüsselt und dient als Einstiegspunkt für eine sechsstufige Infektionskette. Zunächst wird ein Loader mit einer Größe von 1.442 Byte heruntergeladen, der wiederum eine AppleScript-Payload nachlädt.
Im weiteren Verlauf des Angriffs manipuliert die Software die Berechtigungsabfragen des Systems (TCC), um Zugriff auf vertrauliche Bereiche zu erhalten. Ziel der Angreifer ist unter anderem der Diebstahl des Keychains sowie die Etablierung einer dauerhaften Präsenz auf dem System mittels eines Remote Access Trojans (RAT).
Umfangreiche Kompromittierung von Krypto-Wallets
Besonderes Augenmerk legen die Entwickler des MacSync-Stealers auf digitale Vermögenswerte. Die Schadsoftware ist in der Lage, Wallet-Anwendungen zu trojanisieren. Nach Angaben von Huntress betrifft dies eine breite Palette an Anwendungen: Insgesamt 60 Browser-Erweiterungen, 21 Desktop-Applikationen sowie drei verschiedene Hardware-Wallets werden von der Malware ins Visier genommen.
Der Vorfall, der bereits im Juli beobachtet wurde, ermöglicht es den Tätern, die vollständige Kontrolle über Konten zu übernehmen und Bildschirminhalte zu erfassen.
Neue Technologien bringen oft neue Cyberrisiken mit sich, auf die Unternehmen schnell reagieren müssen. Erfahren Sie in diesem kostenlosen Report, welche rechtlichen Pflichten und Bedrohungen Sie aktuell kennen müssen, um Ihren Betrieb proaktiv zu schützen. Gratis-Report zu Cyberrisiken und neuen Gesetzen anfordern
Der MacSync-Stealer nutzt für seine Operationen eine hochgradig rotierende Infrastruktur. Sicherheitsanalysten identifizierten mehr als 30 Domänen, die durch verhaltensbasierte Muster miteinander verknüpft sind. Dabei kommen Social-Engineering-Techniken wie „ClickFix“ zum Einsatz.
Die gesammelten Daten – darunter Browser-Anmeldedaten, Cloud-Zugänge und SSH-Schlüssel – werden lokal im Verzeichnis /tmp/sync zwischengespeichert. Die Übermittlung an die Server der Angreifer erfolgt anschließend über gestückelte HTTP-PUT-Anfragen oder per WebSocket an eine spezifische IP-Adresse unter dem Port 8443.
Zusammenhang mit breiteren Betrugsnetzwerken
Untersuchungen von Microsoft Defender Experts konnten die verwendeten Domains über verhaltensbasierte Analysen bestimmten Akteuren zuordnen. Die Infrastruktur umfasst Domänen wie aihealthring[.]com sowie spezifische URL-Pfade für die Steuerung der Malware.
Flankiert werden diese technischen Angriffe durch separate, aber möglicherweise im Kontext stehende Pipeline-Strukturen für Kryptobetrug. Unter dem Namen „ASTERIX“ wird eine Infrastruktur betrieben, die über eine Datenbank von 885.000 Telefonnummern verfügt.
Hierbei setzen die Täter auf gefälschte Wallets für bekannte Anbieter wie Ledger, Trezor oder Exodus sowie auf Vishing-Methoden (Voice Phishing). Experten raten Nutzern zur besonderen Vorsicht bei der Ausführung von Skripten aus unbekannten Quellen und empfehlen, Software ausschließlich über offizielle Kanäle zu beziehen.
