Eine Suche nach dem Claude-Download reichte im Juni aus, um sich einen Datendieb auf den Mac zu holen. Die Sicherheitsforscher von Zscaler ThreatLabz haben eine Kampagne dokumentiert, die bezahlte Google-Anzeigen, geteilte Claude-Chats und einen selbst eingefügten Terminal-Befehl zu einer Kette verbindet.[1]
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Claude-Chat-Malware trifft dabei nicht den unvorsichtigen Privatnutzer, sondern zielt auf genau die Schlüssel, mit denen in Unternehmen gearbeitet wird. Zwischen dem 12. und 19. Juni 2026 liefen 22 Kampagnen mit eigener Kennung, die sieben Suchbegriffe rund um Claude bespielten.
Das Wichtigste in Kürze
- Die Schadseite liegt auf claude.ai, also auf einer Domain, der Web-Filter und Menschen vertrauen.
- Als Absender des geteilten Chats erscheint „Apple Support“, weil der Anzeigename frei wählbar ist.
- Der Schädling MacSync greift Keychain, Browser-Zugangsdaten sowie SSH-, AWS- und Kubernetes-Schlüssel ab.
- Anthropic hat die betroffenen Chats nach dem Hinweis von Zscaler gesperrt.
Wie kommt Schadcode auf eine vertrauenswürdige Domain?
Geliehene Reputation ist der eigentliche Mechanismus. Die Angreifer hosten nichts Eigenes, sondern schreiben ihre Anleitung in einen Claude-Chat und teilen ihn per öffentlichem Link. Damit steht die gesamte Täuschung auf claude.ai.
Ein Secure Web Gateway, das nach verdächtigen Domains sucht, findet hier nichts. Der zweite Baustein sitzt in der Oberfläche selbst: Der Anzeigename eines Kontos ist ein frei wählbares Textfeld, und Anthropic rendert ihn beim Teilen als Absenderangabe. Aus einem beliebigen Konto wird so ein Chat, der laut Beschriftung von „Apple Support“ stammt.
Den Rest erledigt das Opfer. Statt einer Datei bekommt es einen Befehl zum Kopieren, der eine Zeichenkette dekodiert und das Ergebnis direkt an die Shell weiterreicht. Diese Masche trägt seit 2024 den Namen ClickFix, und ihr Reiz für Angreifer liegt genau darin, dass sie die macOS-Schutzkette umgeht: Ohne Browser-Download gibt es kein Quarantäne-Kennzeichen, ohne Quarantäne-Kennzeichen prüft Gatekeeper keine Signatur.
Was MacSync auf einem Entwickler-Mac wirklich holt
Dreistufig lädt der Schädling nach, bis ein AppleScript die Daten einsammelt. Ein gefälschter Systemdialog fragt nach dem macOS-Passwort, danach wandern Keychain, Browser-Zugangsdaten und Cookies in ein Archiv im Verzeichnis /tmp.
Interessant wird die Liste dahinter. MacSync sucht ausdrücklich nach SSH-, AWS- und Kubernetes-Schlüsseln, nach Telegram-Dateien und nach Krypto-Wallets. Eine Kampagne, die wie Verbraucherbetrug aussieht, greift damit die Zugangsdaten von Administratoren und Entwicklern ab und schafft ein Sprungbrett in fremde Produktivumgebungen.
Verweigert das Opfer den Vollzugriff auf die Festplatte, hängt sich der Schädling stattdessen in die Datei ~/.zshrc und startet beim nächsten Terminal erneut. Russischsprachige Kommentare im AppleScript deuten laut Zscaler auf einen russischsprachigen Akteur hin.
Was Zscaler ThreatLabz zwischen dem 12. und 19. Juni 2026 auf macOS beobachtet hat.
Die Kampagne in Zahlen
Der Weg von der Suche zum Schlüsselbund
Die Suche nach einem Claude-Download führt auf eine Google-Anzeige der Angreifer.
Das Ziel liegt auf claude.ai, als Absender erscheint der frei gewählte Anzeigename „Apple Support“.
Der Leser kopiert einen Befehl ins Terminal und startet die Installation selbst.
Der wunde Punkt: Weil nichts über den Browser heruntergeladen wird, greifen weder das Quarantäne-Kennzeichen noch Gatekeeper. MacSync liest anschließend Keychain, Browser-Zugangsdaten, SSH-, AWS- und Kubernetes-Schlüssel sowie Krypto-Wallets aus und verankert sich bei fehlendem Vollzugriff in der Datei ~/.zshrc.
Warum das kein Einzelfall bleibt
Ein Muster zeichnet sich seit dem Frühjahr ab. Bereits Anfang Juni wurde bekannt, wie Angreifer geteilte ChatGPT- und Claude-Chats als Köder nutzen, damals allerdings mit einer gefälschten Fehlerseite statt einer Terminal-Anleitung.
Das Prinzip ähnelt anderen Fällen dieses Jahres: Beim Angriff auf Salesforce-Daten brauchte die Gruppe ShinyHunters keine einzige Sicherheitslücke, und über einen legitimen Update-Kanal lieferte JDownloader einen Tag lang Schadsoftware aus. Die Angreifer greifen nicht mehr die Software an, sondern das Vertrauen in ihren Verbreitungsweg.
Die Angreifer brauchen keine Lücke in macOS, sie brauchen nur eine Domain, der Ihr Web-Filter vertraut. Solange ein eingefügter Terminal-Befehl an jeder Signaturprüfung vorbeiläuft, ist Awareness keine weiche Maßnahme, sondern die letzte technische Schicht.
— Markus Seyfferth, Chefredakteur Dr. Web
Was Unternehmen im DACH-Raum jetzt ändern sollten
Bekannt, aber unterschätzt ist die Methode hierzulande längst. Das BSI hat bereits im März 2025 vor gefälschten CAPTCHAs gewarnt, die Schadcode in die Zwischenablage schreiben, und das Schweizer BACS hat ClickFix im Februar 2026 wegen steigender Meldungen erneut aufgegriffen. Neu ist allein der Ort der Täuschung.
Für Unternehmen, die unter NIS2 fallen, gehört dieser Angriffsweg in die Schulungspflicht, weil weder Endpoint-Schutz noch URL-Filter ihn zuverlässig abfangen. Vier Schritte lohnen sich sofort:
- Eine feste Regel etablieren, dass kopierte Befehle niemals ungeprüft im Terminal landen, unabhängig von der Quelle.
- KI-Werkzeuge ausschließlich über die Herstellerseite beziehen, nie über eine Suchanzeige.
- SSH-, AWS- und Kubernetes-Schlüssel auf Arbeitsgeräten rotieren, sobald ein Verdacht besteht, und kurzlebige Zugangsdaten bevorzugen.
- Die Datei ~/.zshrc auf betroffenen Macs prüfen, weil dort die Persistenz sitzt.
Welche Basismaßnahmen im Mittelstand dazugehören, fasst der Überblick zu den Cybersecurity-Grundlagen für KMU zusammen; die Begriffe dahinter erklärt das Cybersecurity-Glossar 2026. Anthropic hat die betroffenen Chats gesperrt, nachdem Zscaler den Missbrauch gemeldet hatte. Die Funktion selbst bleibt bestehen, und damit auch die Angriffsfläche.
Quelle
[1] Zscaler ThreatLabz: „ClaudeFix: Shared Claude Chats Meet ClickFix“
Mehr Newshunger?
- Vier Tage nach dem Patch: Angreifer umgehen ServiceNows Sandbox über einen zweiten Weg
- Fünf neue Prompt-Injection-Angriffe: Wie sich KI-Agenten heimlich umprogrammieren lassen
- Cursor-Zero-Day: Wenn nur noch die volle Offenlegung schützt
- Drei Sekunden genügen: Wie geklonte KI-Stimmen den Telefonbetrug verändern
- Malware über geteilte ChatGPT- und Claude-Chats
- Kein einziger Bug: Wie ShinyHunters ein Jahr lang Salesforce-Daten stahl
