Im Juli beobachtete Huntress eine Kampagne mit dem Namen FakeAgent, die mehr als 29 Organisationen traf. Ausgangspunkt war ein boesartiges Claude Artifact, das auf der echten Domain claude.ai lag. Da oeffentliche Artifacts fuer leichtgewichtige Demonstrationen gedacht sind und laut Huntress von Anthropic ausser einem allgemeinen Warnhinweis kaum geprueft werden, konnten die Angreifer dort eine ueberzeugende gefaelschte Downloadseite fuer Claude Desktop aufbauen.
Opfer, die bei Bing nach der Claude-Desktop-Anwendung suchten, landeten auf dieser Seite und klickten auf einen scheinbar legitimen Downloadlink. Tatsaechlich wurden sie auf eine externe Domain umgeleitet, die die Schadsoftware SectopRAT auslieferte. Huntress meldete das Artifact, Anthropic entfernte es bis zum 22. Juli. Vorfaelle im Zusammenhang mit derselben Weiterleitungsdomain traten dennoch bis in den August hinein auf.
Ein zweiter Fall betraf einen Nutzer, der bei Google nach “Claude on Mac” suchte und auf ein gesponsertes Ergebnis klickte. Es fuehrte zu einem claude.ai/share-Link, der sich als Installationsanleitung des Apple-Supports ausgab. Weil die Seite auf Anthropics eigener Domain lag, fehlten die ueblichen Warnzeichen vollstaendig.
Die gefaelschte Anleitung forderte das Opfer auf, einen curl-Befehl in das Terminal einzufuegen. Das startete eine sechsstufige Kette, an deren Ende der Infostealer MacSync stand. Dieser sammelte Cookies, Zugangsdaten, Schluesselbund-Geheimnisse, Telegram-Sitzungen sowie SSH- und Cloud-Schluessel ein.
Ein drittes Muster zielt auf KI-generierte Problemloesungsratschlaege selbst. Im Dezember foerderte eine gewoehnliche Suche nach “clear disk space on macOS” hoch platzierte ChatGPT- und Grok-Konversationen zutage, die statt echter Loesungen Anweisungen im ClickFix-Stil enthielten. Die Angreifer hatten die Gespraeche selbst verfasst, ueber die Teilen-Funktion eine oeffentliche URL auf der vertrauenswuerdigen Plattformdomain erzeugt und den Link per SEO-Vergiftung an die Spitze der Google-Ergebnisse geschoben.
Da die Links tatsaechlich auf chatgpt.com und grok.com lagen, vertrauten die Opfer den Ratschlaegen und fuehrten die vorgeschlagenen Terminal-Befehle aus. Ausgeliefert wurde dabei der Infostealer AMOS.
Huntress empfiehlt Verteidigern, sowohl die Ausfuehrung von Inhalten aus der Zwischenablage als auch KI-gestuetzte Fehlerbehebung als Sicherheitsrisiko einzustufen. Konkret raet das Unternehmen dazu, die Skriptausfuehrung aus der Zwischenablage einzuschraenken und Anwendungs-Allowlisting durchzusetzen. Zudem sollten neu angelegte geplante Aufgaben und Aenderungen an Virenschutz-Ausnahmen ueberwacht und Nutzer darin geschult werden, Koeder im ClickFix-Stil zu erkennen. Verdaechtige, auf KI-Plattformen gehostete Inhalte sollten dem jeweiligen Anbieter rasch gemeldet werden — da die Kampagnen kurzlebig sind, verkleinern schnelle Meldungen und gestaffelte Schutzmassnahmen das Zeitfenster der Angreifer.
Der Beitrag wurde von Huntress Labs gesponsert und verfasst.