Angreifer missbrauchen Claude- und ChatGPT-Links zur Verbreitung von Malware

Bedrohungsakteure verwandeln vertrauenswürdige KI-Plattformen wie Claude und ChatGPT in eine Angriffsfläche, indem sie legitime Share-Links, öffentliche Mini-Apps und gesponserte Suchergebnisse missbrauchen, um Malware zu verbreiten, so ein neuer Bericht von Huntress Labs. In den vergangenen neun Monaten hat das Huntress Security Operations Center (SOC) Vorfälle verfolgt, bei denen Angreifer teilbare KI-Inhalte, öffentliche Mini-Apps auf KI-Plattformen und gesponserte Suchplatzierungen als Waffe einsetzten, um KI-Nutzer anzugreifen und Malware zu liefern. Das größere tägliche Risiko, so Huntress, entsteht dadurch, dass Angreifer die KI-Funktionen missbrauchen, denen Menschen bereits vertrauen und die sie nutzen, und nicht durch direkte Angriffe auf die KI-Unternehmen selbst oder auf die zugrunde liegenden Sprachmodelle.

Die missbrauchten Funktionen sind alles echte Bestandteile weit verbreiteter KI-Dienste. Claude Artifacts sind Inhalte, die der Claude-Assistent erzeugt und in einem Chat-Vorschaubereich anzeigt, und die Nutzer über einen öffentlichen Link veröffentlichen können. Die claude.ai/share-Links sind teilbare URLs, die entstehen, wenn jemand eine Claude-Konversation veröffentlicht; diese Links können in Suchmaschinen auftauchen, wenn sie an crawl-baren Orten wie Foren oder sozialen Medien gepostet werden. Geteilte ChatGPT- und Grok-Konversationen sind öffentliche, indexierbare Konversationen, die auf chatgpt.com und grok.com gehostet werden, und sie können bei Fehlerbehandlungssuchen ein hohes Ranking erzielen. Jede dieser Seiten befindet sich innerhalb einer Vertrauensgrenze. Ein Besucher erkennt die Plattform, das Branding und den umgebenden Inhalt, sodass bösartige Anweisungen oder Downloads legitim erscheinen, auch wenn sie es nicht sind.

Eine Kampagne namens FakeAgent veranschaulicht, wie ein öffentliches Artifact zu einer Malware-Lieferungsseite werden kann. Im Juli sah Huntress, dass FakeAgent mehr als 29 Organisationen traf. Es begann mit einem bösartigen Claude Artifact, das auf der echten claude.ai-Domain gehostet wurde. Da öffentliche Artifacts für leichte Demos gedacht sind und von Anthropic nur minimal geprüft werden – nicht mehr als ein allgemeiner Haftungsausschluss –, bauten Angreifer in dieses Artifact eine überzeugende gefälschte Claude Desktop-Downloadseite ein. Opfer, die bei Bing nach der Claude Desktop-App suchten, landeten auf der gefälschten Seite und klickten auf einen scheinbar legitimen Download-Link. Stattdessen wurden sie auf eine externe Domain umgeleitet, die die Malware SectopRAT lieferte, ein Remote-Access-Tool, das Angreifern die Kontrolle über einen infizierten Rechner gibt. Huntress meldete das Artifact, und Anthropic entfernte es bis zum 22. Juli, aber Vorfälle im Zusammenhang mit derselben Weiterleitungsdomain dauerten bis in den August an.

Ein separater Vorfall missbrauchte einen claude.ai/share-Link auf andere Weise. Ein Opfer, das bei Google nach "Claude on Mac" suchte, klickte auf ein gesponsertes Ergebnis, das zu einem claude.ai/share-Link führte, der sich als Apple Support-Installationsanleitung ausgab. Da die Seite auf Anthropics eigener Domain lag, wies sie keine der üblichen Warnsignale auf: keine ähnlich aussehende URL, keine Zertifikatswarnung. Die gefälschte Anleitung wies das Opfer an, einen curl-Befehl in das Terminal einzufügen, das textbasierte Programm auf einem Mac, in dem eingegebene Befehle direkt ausgeführt werden. Dieser Befehl startete eine sechsstufige Kette, die den MacSync-Stealer einsetzte, eine Art von Malware, die private Daten vom infizierten Computer sammelt. Huntress berichtet, dass der MacSync-Stealer Cookies, Anmeldedaten, Keychain-Geheimnisse, Telegram-Sitzungen sowie SSH- und Cloud-Schlüssel erbeutete.

Ein drittes Muster zielt auf KI-generierte Fehlerbehandlungsratschläge selbst ab. Im Dezember tauchten bei einer routinemäßigen Suche nach "clear disk space on macOS" hochrangige ChatGPT- und Grok-Konversationen auf, die ClickFix-artige Anweisungen statt echter Lösungen gaben. ClickFix ist ein Betrugsstil, bei dem gefälschte Anweisungen angezeigt und dem Nutzer gesagt wird, einen Befehl auszuführen oder auf eine "Fix"-Schaltfläche zu klicken, aber der Befehl installiert tatsächlich Malware. Angreifer hatten die Konversationen erstellt, auf die Share-Schaltfläche geklickt, um eine öffentliche URL auf der vertrauenswürdigen Domain der Plattform zu erzeugen, und SEO Poisoning genutzt, um den Link an die Spitze der Google-Ergebnisse zu bringen. SEO Poisoning bedeutet, Suchmaschinen dazu zu bringen, bösartige Seiten nahe der Spitze zu platzieren. Da die Links auf echten chatgpt.com- und grok.com-Domains lagen, vertrauten die Opfer dem Rat und führten die vorgeschlagenen Terminal-Befehle aus, die den AMOS-Stealer lieferten, eine weitere datenstehlende Malware-Familie.

Keiner dieser Angriffe durchbrach die eigenen Sicherheitskontrollen der KI-Plattformen, betont Huntress. Stattdessen nutzten sie das Vertrauen aus, das Nutzer in bekannte Marken und echte Domains setzen. Verteidiger sollten die Ausführung über die Zwischenablage und KI-gestützte Fehlerbehandlung als Sicherheitsrisiken behandeln. Ausführung über die Zwischenablage bedeutet, Befehle auszuführen, die von einer Webseite kopiert und eingefügt wurden. Huntress empfiehlt, die Skriptausführung aus der Zwischenablage einzuschränken und Application Allow-Listing durchzusetzen, eine Sicherheitseinstellung, die nur genehmigte Programme auf einem Gerät ausführen lässt. Sicherheitsteams sollten auch auf neue geplante Aufgaben und Änderungen an Antivirus-Ausnahmen achten und Nutzer darin schulen, ClickFix-artige Köder zu erkennen. Verdächtige KI-gehostete Inhalte schnell beim Plattformanbieter zu melden, kann verkürzen, wie lange eine Kampagne aktiv bleibt. Für Administratoren, die einen netzwerkseitigen Kontrollpunkt hinzufügen möchten, bietet AEU DNS eine private, sichere DNS-Auflösung.

Diese Kampagnen sind oft kurzlebig und laufen häufig nur Stunden oder Tage, bevor ein Anbieter die Inhalte entfernt, aber das reicht aus, um Opfer zu täuschen, bevor sie entdeckt werden. Schnelle Meldungen und geschichtete Kontrollen können das Zeitfenster verkleinern, das Angreifer für ihre Ausnutzung haben. Website-Betreiber und Alltagsnutzer sollten jede Webseite, selbst eine auf einer bekannten Domain, als nicht vertrauenswürdig behandeln, wenn sie dazu auffordert, einen Befehl auszuführen oder eine Datei herunterzuladen.