Sicherheitsexperten des IT-Unternehmens Morphisec warnen vor einer neuen Schadsoftware-Kampagne, die gezielt das Interesse an Künstlicher Intelligenz ausnutzt. Im Zentrum steht eine gefälschte Desktop-Anwendung für den KI-Assistenten Claude, die auf der Entwicklerplattform GitHub verbreitet wird. Die präparierte Datei dient dazu, den sogenannten RevStealer-Infostealer auf den Systemen der Opfer zu installieren.
Gezielter Angriff auf Krypto-Vermögen und Passwörter
Laut einem Bericht von Morphisec trägt die bösartige Datei den Namen „Claude Opus 5 Free Desktop“ und weist eine Größe von 101MB auf. Die darin enthaltene Malware ist darauf spezialisiert, sensible Informationen aus einer Vielzahl von Anwendungen zu entwenden. Den Analysen zufolge zielt die Software auf mehr als 50 verschiedene Krypto-Wallets sowie etwa 10 Passwort-Manager ab.
Zu den explizit genannten Zielen gehören namhafte Krypto-Wallets wie Atomic, Armory, Cake Wallet, Sparrow, Wasabi, Ledger, Trezor und Electrum. Dabei geht die Malware methodisch vor: Sie kopiert verschlüsselte Wallet-Dateien direkt vom System des Nutzers, ohne jedoch den Versuch zu unternehmen, diese lokal zu entschlüsseln.
Immer mehr Unternehmen werden Opfer von Cyberangriffen – diese Checkliste hilft Ihnen, es zu verhindern. Experten erklären im kostenlosen E-Book, wie Sie sich proaktiv absichern, bevor es zu spät ist. Kostenlosen Sicherheits-Ratgeber herunterladen
Die gestohlenen Datenpakete werden anschließend über Polygon-Smart-Contracts an einen externen Server der Angreifer übermittelt. Neben Finanzdaten greift die Software zusätzlich Browserdaten, Konfigurationen von VPN-Diensten und Informationen aus Passwort-Managern ab.
Aktuelle KI-Veröffentlichungen als Köder
Branchenbeobachter bringen die Kampagne mit der jüngsten Veröffentlichung neuer Sprachmodelle durch den Entwickler Anthropic in Verbindung. Am 1. September wurden die Modelle Fable 5.1 und Mythos 5.1 vorgestellt. Es wird vermutet, dass Cyberkriminelle die erhöhte Aufmerksamkeit für diese neuen Versionen nutzen, um Nutzer zum Download der gefälschten Desktop-Anwendung zu verleiten.
Da Claude offiziell primär browserbasiert oder über spezifische Schnittstellen genutzt wird, stellt eine vermeintlich kostenlose Desktop-App ein effektives Lockmittel dar.
Neue KI-Gesetze, neue Cyberrisiken: Was kommt wirklich auf Ihr Unternehmen zu? Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Gratis-Report zur IT-Sicherheit anfordern
Anthropic meldet Diebstahl von Sitzungscookies
Flankierend zu den Entdeckungen von Morphisec gab Anthropic Anfang September Details zu einer weiteren Infostealer-Kampagne bekannt. In diesem Fall konzentrierten sich die Angreifer auf den Diebstahl von Sitzungscookies (Session Cookies).
Diese Methode ist für Nutzer besonders gefährlich, da die gestohlenen Cookies es den Angreifern ermöglichen können, eine bestehende Anmeldung zu übernehmen und dabei sogar die Zwei-Faktor-Authentifizierung (2FA) zu umgehen.
Anthropic identifizierte in diesem Zusammenhang sechs bekannte Malware-Familien, die für diese Angriffe eingesetzt wurden: Vidar, LummaC2, StealC, RedLine, Acreed und Atomic Stealer. Das Unternehmen teilte mit, dass betroffene Konten im Self-Serve-Bereich identifiziert wurden und entsprechende Erstattungen bereits in die Wege geleitet worden seien.
Sicherheitsexperten raten Nutzern von KI-Anwendungen dringend dazu, Software ausschließlich über die offiziellen Kanäle der jeweiligen Hersteller zu beziehen.
Der Fund von Morphisec verdeutlicht, dass Plattformen wie GitHub zunehmend zur Verbreitung von Malware missbraucht werden, die unter dem Deckmantel bekannter KI-Marken agiert. Besonders Besitzer von Krypto-Vermögenswerten sollten bei Desktop-Anwendungen, die Zugriff auf Systemressourcen verlangen, äußerste Vorsicht walten lassen.
