Angreifer machen aus vertrauenswürdigen KI-Funktionen zum Teilen Kanäle für die Malware-Verbreitung

Bedrohungsakteure missbrauchen öffentlich zugängliche Inhalte großer KI-Dienste, um Malware über legitime Domains und bekannte Markenauftritte zu verbreiten.

Über einen Beobachtungszeitraum von neun Monaten identifizierte das Huntress Security Operations Center Kampagnen, die Claude Artifacts, geteilte Claude-Seiten sowie öffentliche Unterhaltungen in ChatGPT und Grok missbrauchten. Die Angreifer kompromittierten weder die Anbieter noch manipulierten sie die zugrunde liegenden Modelle. Stattdessen nutzten sie standardmäßige Veröffentlichungs- und Freigabefunktionen als Verbreitungsebene.

Die Kampagnen richteten sich sowohl gegen Windows- als auch gegen macOS-Nutzer und verbreiteten SectopRAT, MacSync und AMOS. Einige schädliche Seiten verschwanden innerhalb von Stunden oder Tagen, doch die zugehörige Redirect- und Malware-Infrastruktur blieb aktiv, nachdem die bei den KI-Diensten gehosteten Inhalte entfernt worden waren.

Legitime KI-Domains schaffen eine gefährliche Vertrauensgrenze

Die Angriffe nutzen einen einfachen Vorteil: Nutzer vertrauen Anweisungen und Downloads auf claude.ai, chatgpt.com oder grok.com eher als Inhalten, die auf einer unbekannten Domain gehostet werden.

Mehrere echte Plattformfunktionen ermöglichten diesen Ansatz:

• Claude Artifacts können generierte Inhalte in einem Vorschaubereich darstellen und über einen öffentlichen Link veröffentlichen.
• claude.ai/share-Seiten machen geteilte Unterhaltungen zugänglich, die über soziale Medien, Foren, Anzeigen und Suchergebnisse verbreitet werden können.
• Geteilte Unterhaltungen in ChatGPT und Grok können von Suchmaschinen indexiert und in den Suchergebnissen platziert werden, auch bei Anfragen an den technischen Support.

Diese Dienste stellen Domain, HTTPS-Verbindung, Benutzeroberfläche und Markenidentität bereit. Die Angreifer liefern die irreführenden Inhalte.

Dieser Unterschied ist entscheidend. Es gibt keine Berichte über einen Einbruch in die KI-Plattformen selbst und keine Hinweise darauf, dass die Angreifer grundlegende Sicherheitsmechanismen der Modelle oder Konten überwunden hätten. Stattdessen machten sie aus bestimmungsgemäßen Funktionen eine Angriffsfläche für Social Engineering.

Es wurden keine betroffenen Softwareversionen identifiziert, da die Kampagnen nicht von einer verwundbaren Anwendungs-Version abhängen. Außerdem gibt es keine CVE-IDs, CVSS-Bewertungen oder Einträge im Katalog der von CISA bekannten ausgenutzten Schwachstellen, die mit diesen Aktivitäten in Verbindung stehen.

FakeAgent nutzte ein Claude Artifact, um einen Anwendungs-Download vorzutäuschen

Im Juli verfolgte Huntress eine Kampagne namens FakeAgent, von der mehr als 29 Organisationen betroffen waren. Die Angreifer erstellten mithilfe eines öffentlich zugänglichen Claude Artifacts eine gefälschte Download-Seite für Claude Desktop und Cowork.

Die Seite wurde auf der echten Domain claude.ai gehostet und ahmte den Download einer offiziellen Software nach. Nutzer, die in Bing nach der Desktop-Anwendung von Claude suchten, konnten auf die Seite stoßen und einen Link auswählen, der wie ein legitimer Download-Link aussah.

Der tatsächliche Link leitete Besucher auf eine externe Domain weiter, über die die SectopRAT-Malware ausgeliefert wurde.

Diese Struktur teilte den Angriff in zwei Ebenen auf. Die KI-Plattform stellte die überzeugende Einstiegsseite bereit, während eine von den Angreifern kontrollierte Infrastruktur die Weiterleitung und Auslieferung der Payload übernahm. Das Sperren oder Löschen des öffentlichen Artifacts beseitigte daher nur eine Komponente der Angriffskette.

Huntress meldete das Artifact, und Anthropic entfernte es bis zum 22. Juli. Vorfälle im Zusammenhang mit derselben Redirect-Domain dauerten bis in den August an. Das zeigt, dass die Entfernung des Köders auf dem vertrauenswürdigen Host den umfassenderen Angriff nicht sofort außer Betrieb setzte.

Die Kampagne offenbarte außerdem eine Herausforderung bei der Moderation. Öffentliche Artifacts sind für unkomplizierte Demonstrationen und eine einfache Verbreitung gedacht. Daher kann eine professionell wirkende Imitation lange genug verfügbar bleiben, um Nutzer abzufangen, die über Suchergebnisse auf die Seite gelangen.

Gefälschter Apple-Support-Leitfaden verbreitete MacSync über das Terminal

Eine weitere Kampagne richtete sich gegen eine Person, die bei Google nach „Claude on Mac“ suchte. Ein gesponsertes Ergebnis führte zu einer öffentlichen Unterhaltung unter claude.ai/share, die als Installationsanleitung des Apple-Supports präsentiert wurde.

Der Seite fehlten mehrere Warnsignale, die typischerweise mit Phishing in Verbindung gebracht werden. Der Hostname war echt, die Verbindung löste keine Zertifikatswarnung aus und die Inhalte erschienen in der üblichen Oberfläche für geteilte Unterhaltungen von Anthropic. Außerdem war die Unterhaltung als vom Apple Support geteilt gekennzeichnet, was die falsche Zuordnung zusätzlich untermauerte.

Die Anleitung forderte das Opfer auf, einen einzeiligen curl-Befehl zu kopieren und in das macOS-Terminal einzufügen. Die Ausführung dieses Befehls startete einen sechsstufigen Infektionsprozess, der den MacSync-Infostealer installierte.

MacSync sammelte besonders wertvolle Authentifizierungs- und Zugriffsdaten, darunter:

• Browser-Cookies und gespeicherte Zugangsdaten
• Geheimnisse aus dem macOS-Schlüsselbund
• Telegram-Sitzungsdaten
• SSH-Schlüssel
• Cloud-Zugriffsschlüssel

Dadurch entstehen Risiken, die über den ursprünglich infizierten Mac hinausgehen. Gestohlene Cookies können Session-Hijacking ermöglichen, während SSH- und Cloud-Schlüssel Zugriff auf Remote-Server, Entwicklungssysteme oder gehostete Infrastrukturen bieten können. Der Diebstahl von Schlüsselbunddaten kann Zugangsdaten für mehrere Anwendungen und Dienste offenlegen.

Der Nutzer führt die entscheidende Aktion manuell aus. Dadurch kann die Technik Annahmen umgehen, nach denen Malware ausschließlich über eine heruntergeladene Anwendung oder eine ausgenutzte Browser-Schwachstelle auf ein System gelangt.

Suchmaschinenmanipulation brachte schädliche ChatGPT- und Grok-Ratschläge nach oben

Im Dezember nutzten Angreifer öffentliche Unterhaltungen in ChatGPT und Grok, um Personen anzusprechen, die nach Möglichkeiten suchten, „clear disk space on macOS“.

Sie erstellten Unterhaltungen mit schädlichen Schritten zur Fehlerbehebung, veröffentlichten diese über die Freigabefunktionen der Plattformen und setzten Suchmaschinenoptimierungs-Poisoning ein, um ihre Sichtbarkeit in den Google-Ergebnissen zu erhöhen. Die resultierenden URLs gehörten zu chatgpt.com und grok.com, wodurch die Anweisungen glaubwürdiger wirkten als entsprechende Inhalte auf einer neu registrierten Website.

Statt sichere Hinweise zur Bereinigung von Speicherplatz zu geben, nutzten die Seiten eine ClickFix-ähnliche Technik. Die Opfer wurden aufgefordert, Terminal-Befehle einzugeben, die letztlich den AMOS-Stealer installierten.

ClickFix-Angriffe verlagern einen Teil der Infektionskette auf das Opfer. Die schädliche Seite muss keine ausführbare Payload enthalten, und bis zur Befolgung der angezeigten Anweisungen wird möglicherweise nichts heruntergeladen. Dadurch können Sicherheitsmaßnahmen an Wirkung verlieren, die sich ausschließlich auf schädliche Anhänge und direkte Binärdownloads konzentrieren.

Öffentliche KI-Unterhaltungen fügen sich außerdem natürlich in die suchbasierte Suche nach Support ein. Nutzer wenden sich bereits für Installationshinweise, Fehlerbehebung und Hilfe bei Befehlszeilen an KI-Dienste. Angreifer können diese Erwartung ausnutzen, ohne die gesamte Plattform nachahmen zu müssen.

Hier geht es um den Missbrauch von Funktionen, nicht um eine herkömmliche Softwareschwachstelle

Die Kampagnen stellen keinen Fehler dar, der sich durch ein normales Sicherheitsupdate beheben ließe. Es gibt keine Berichte über eine Schwachstelle mit Speicherbeschädigung, eine Umgehung der Authentifizierung, einen Ausbruch aus der Sandbox oder eine Kompromittierung des Modells.

Stattdessen kombiniert der Angriffsweg mehrere legitime Systeme:

1. Eine KI-Plattform veröffentlicht ein öffentliches Artifact oder eine geteilte Unterhaltung.
2. Suchmaschinenoptimierung oder ein gesponsertes Ergebnis platziert den Inhalt vor potenziellen Opfern.
3. Die echte Dienst-Domain senkt das Misstrauen des Opfers.
4. Der Inhalt empfiehlt einen Download oder einen Befehl.
5. Ein Redirect, Shell-Befehl oder Skript ruft die Malware ab.
6. Der installierte Stealer extrahiert Zugangsdaten, Sitzungen und Zugriffsschlüssel.

Aus betrieblicher Sicht kann diese Angriffskette trotz des Fehlens einer CVE gravierende Folgen haben. Die entscheidende Sicherheitsfrage lautet nicht, ob der Code des KI-Anbieters ausgenutzt wurde, sondern ob vertrauenswürdige Veröffentlichungsfunktionen dazu verwendet werden können, Nutzer zum Überschreiten einer Sicherheitsgrenze zu bewegen.

Die kurze Lebensdauer einzelner Seiten erschwert die Untersuchung. Inhalte können entfernt werden, bevor Analysten sie sichern, während Redirect-Domains und Payload-Infrastruktur weiter betrieben werden. Verantwortliche für die Abwehr müssen daher Belege auf Endgeräten und in Netzwerken sichern, statt die Entfernung einer Seite als Beweis dafür zu betrachten, dass die Kampagne beendet ist.

Verantwortliche für die Abwehr sollten sich auf Befehle, Ausführung und Persistenz konzentrieren

Organisationen dürfen nicht automatisch davon ausgehen, dass Inhalte vertrauenswürdig sind, nur weil sie auf der echten Domain eines KI-Dienstes erscheinen. Wann immer KI-generierte Anleitungen einen Terminal-Befehl, einen Software-Download, eine Aktion mit Zugangsdaten oder eine Änderung von Sicherheitseinstellungen verlangen, sollte eine zusätzliche Überprüfung erfolgen.

Application Allow-Listing kann verhindern, dass nicht autorisierte Binärdateien und Skripte ausgeführt werden, nachdem ein Opfer schädliche Anweisungen befolgt hat. Unternehmen sollten außerdem aus Zwischenablagen gestartete Befehle einschränken oder überwachen, insbesondere in Umgebungen, in denen Beschäftigte regelmäßig KI-Tools für technische Unterstützung nutzen.

Endpoint-Teams sollten Folgendes untersuchen:

• Neu erstellte geplante Tasks
• Unerwartete Änderungen an Antivirus-Ausnahmen
• Nicht genehmigte Skripte oder ausführbare Dateien
• Befehlsfolgen, die von öffentlichen Support-Seiten kopiert wurden
• Aktivitäten nach dem Aufruf geteilter KI-Unterhaltungen
• Offenlegung von Zugangsdaten, SSH-Schlüsseln, Cloud-Schlüsseln oder Sitzungen auf einem infizierten Gerät

Für diese Kampagnen wurden keine spezifischen Hashes, Redirect-Domains, Befehlszeichenfolgen oder anderen technischen Indikatoren veröffentlicht. Die Erkennung muss sich daher stärker auf Verhalten und Kontext als auf eine feste Liste von Indikatoren konzentrieren.

Potenziell schädliche Artifacts und geteilte Unterhaltungen sollten dem Plattformanbieter umgehend gemeldet werden. Verantwortliche für die Abwehr sollten jedoch auch die von betroffenen Endgeräten kontaktierten externen Domains ermitteln und prüfen, ob Zugangsdaten oder Zugriffsschlüssel widerrufen werden müssen.

Die zentrale Erkenntnis aus den Untersuchungsergebnissen von Huntress zum Missbrauch vertrauenswürdiger KI-Plattformen lautet: Eine authentische Domain belegt, wo Inhalte gehostet werden – nicht, wer sie erstellt hat oder ob die darin enthaltenen Anweisungen sicher sind.