K\u00fcnstliche Intelligenz ist aus dem beruflichen Alltag nicht mehr wegzudenken \u2013 genau diese Selbstverst\u00e4ndlichkeit machen sich Angreifer zunehmend zunutze. Statt KI-Unternehmen oder -Modelle direkt anzugreifen, missbrauchen sie vertraute KI-Plattformen als Verteilungswege f\u00fcr Malware-Kampagnen. Das Huntress Security Operations Center (SOC) hat in den vergangenen neun Monaten dokumentiert, wie Bedrohungsakteure geteilte KI-Inhalte, \u00f6ffentliche Mini-Apps und gesponserte Suchplatzierungen nutzen, um gezielt Angriffe gegen KI-Nutzer zu f\u00fchren.<\/p>\n
Das gr\u00f6\u00dfte allt\u00e4gliche Risiko geht nicht von Attacken auf die KI-Modelle<\/a> selbst aus, sondern von der Zweckentfremdung der Funktionen, die Nutzer bereits kennen und denen sie vertrauen. Die Angreifer m\u00fcssen kein Sicherheitsleck \u00fcberwinden \u2013 sie nutzen die offizielle Infrastruktur der Plattformen als Teil ihrer Angriffskette. Die Folge ist eine Form der Malware-Verbreitung, die bei klassischen Sicherheitsl\u00f6sungen h\u00e4ufig unter dem Radar bleibt.<\/p>\n Das Huntress SOC hat beobachtet, dass Bedrohungsakteure mehrere echte Funktionen gro\u00dfer KI-Plattformen f\u00fcr ihre Kampagnen verwenden:<\/p>\n Alle diese Funktionen liegen innerhalb einer Vertrauensgrenze: Nutzer erkennen die Plattform, das Design und die umgebenden Inhalte wieder. Anweisungen oder Downloads aus diesem Umfeld wirken dadurch legitim, auch wenn sie von Angreifern pr\u00e4pariert wurden. Die Kampagnen sind h\u00e4ufig nur wenige Stunden oder Tage aktiv, bevor der Plattformbetreiber die Inhalte entfernt \u2013 diese Zeit reicht jedoch aus, um eine Vielzahl von Opfern zu t\u00e4uschen.<\/p>\n Im Juli verzeichnete das Huntress SOC eine Kampagne namens FakeAgent, die mehr als 29 Organisationen traf. Ausgangspunkt war ein sch\u00e4dliches Claude Artifact, das auf der echten Domain claude.ai gehostet wurde. \u00d6ffentliche Artifacts sind f\u00fcr einfache Demos gedacht und werden von Anthropic nur minimal gepr\u00fcft; eine allgemeine Haftungsausschluss-Kennzeichnung ist der einzige Schutz. Die Angreifer nutzten diese L\u00fccke, um eine t\u00e4uschend echte Download-Seite f\u00fcr die Claude-Desktop-App zu erstellen.<\/p>\n Opfer, die bei Bing nach der Desktop-Anwendung von Claude suchten, landeten \u00fcber die Suchergebnisse auf der gef\u00e4lschten Seite. Der vermeintliche Download-Link f\u00fchrte jedoch nicht zum offiziellen Installationspaket, sondern leitete auf eine externe Domain weiter, die den Fernzugriffstrojaner SectopRAT auslieferte. Huntress meldete das Artifact der Plattform, woraufhin Anthropic es bis zum 22. Juli entfernte. Vorf\u00e4lle, die mit derselben Weiterleitungsdomain in Verbindung standen, traten jedoch noch bis in den August hinein auf.<\/p>\n Ein zweiter Vorfall zeigt, wie Angreifer geteilte Konversationen f\u00fcr gezielte Malware-Verteilung missbrauchen. Ein Opfer suchte bei Google nach \u201eClaude on Mac\u201c und klickte auf ein gesponsertes Suchergebnis. Dieses f\u00fchrte auf einen claude.ai\/share-Link, der als offizielle Apple-Support-Anleitung gestaltet war. Da die Seite auf einer echten Anthropic-Domain lag, fehlten die \u00fcblichen Warnsignale: keine nachgebaute URL, kein Zertifikatshinweis, keine verd\u00e4chtige Absenderadresse.<\/p>\n Die gef\u00e4lschte Anleitung wies das Opfer an, einen curl-Befehl in das Terminal einzuf\u00fcgen. Dadurch wurde eine sechsstufige Angriffskette ausgel\u00f6st, die den MacSync-Stealer installierte. Die Schadsoftware sammelte Cookies, Zugangsdaten, Schl\u00fcsselbunddaten, Telegram-Sitzungen sowie SSH- und Cloud-Schl\u00fcssel \u2013 also praktisch den gesamten digitalen Identit\u00e4tsbestand eines betroffenen Systems.<\/p>\nWelche legitimen KI-Funktionen werden zweckentfremdet?<\/h3>\n
\n
FakeAgent: Malware-Verteilung \u00fcber ein Claude Artifact<\/h2>\n
Gef\u00e4lschte Installationsanleitung \u00fcber claude.ai\/share<\/h2>\n
KI-Vergiftung: Manipulierte Ratschl\u00e4ge auf ChatGPT und Grok<\/h2>\n