Seit vielen Jahren lautet die Standardempfehlung für mehr Sicherheit im Internet: URL prüfen, auf das Schloss-Symbol achten, verdächtigen Domains nicht vertrauen. Neue Forschungsergebnisse von TrendAI zeigen, wie Angreifer genau diese Grundprinzipien aushebeln: Sie missbrauchten die legitimen Sharing-Funktion von Anthropic Claude.ai.
Über einen Zeitraum von sieben Wochen schalteten Cyberkriminelle Google-Anzeigen für Suchanfragen nach populären KI-Tools wie Claude, ChatGPT und Cursor. Wer auf die Anzeigen klickte, landete nicht auf einer gefälschten Website oder einer täuschend echten Phishing-Seite, sondern auf einer legitimen Seite von Claude.ai. Die Angreifer missbrauchten die Sharing-Funktion von Anthropic, um gefälschte „Support“-Anweisungen zu platzieren, die Nutzer dazu verleiteten, einen einzelnen Terminal-Befehl auszuführen. Dieser installierte unbemerkt Malware, die Passwörter, Browser-Daten und Krypto-Wallets stehlen konnte.
Angreifer missbrauchten die Sharing-Funktion von Anthropic
Keine gefälschten Domains. Keine Phishing-Seiten. Der gesamte Angriff spielte sich auf legitimer Infrastruktur ab. Dadurch gab es für viele der Sicherheitsmechanismen, auf die Unternehmen normalerweise vertrauen, keine offensichtlichen Warnsignale. Die Kampagne richtete sich gezielt an technisch versierte Nutzer – also genau jene Zielgruppe, die gemeinhin als weniger anfällig für Social Engineering gilt.
TrendAI dokumentierte sechs unterschiedliche Angriffswellen und mehr als 100 bösartige Hostnamen. Besonders stark betroffen war die Region Asien-Pazifik; allein Taiwan machte nahezu ein Drittel des gesamten Opfer-Traffics aus. Nachdem TrendAI die Erkenntnisse an Anthropic gemeldet hatte, wurden die schädlichen Inhalte entfernt.
Expertenfazit: Angriffe waren erste gezielte Tests
„Was diese Kampagne erfolgreich machte, war nicht technische Raffinesse. Es war die gezielte Ausnutzung von Vertrauen. Die Angreifer mussten keine überzeugenden Fälschungen erstellen, weil sie einen Weg fanden, ihre Anweisungen auf der echten Plattform zu hosten. Sobald sich der Köder auf einer legitimen Domain mit gültigem Zertifikat befindet, haben die meisten der Schutzmechanismen, auf die wir uns verlassen, schlicht keine Anhaltspunkte mehr.“ so Fyodor Yarochkin, Senior Researcher, TrendAI.
„Jede KI-Plattform mit einer Sharing- oder Publishing-Funktion sollte sich diesen Fall genau ansehen. Die Angreifer testeten über sieben Wochen sechs verschiedene Marken-Köder, analysierten, was funktionierte, und optimierten ihren Ansatz in Echtzeit. Das war kein Einzelfall. Es war ein Optimierungszyklus und das Angriffsrezept hat sich nun als wirksam erwiesen.“ So Ryan Flores, Director of Technology Research, Forward-Looking Threat Research, TrendAI.
Mehr bei TrendMicro.com
Über TrendAI TrendAI, ein Geschäftsbereich von Trend Micro und einer der weltweit führenden Anbieter von KI-Sicherheit, unterstützt Unternehmen dabei, Innovationen mutig voranzutreiben, indem er KI, Cloud-Umgebungen, Netzwerke, Endpunkte und Daten über die moderne Angriffsfläche hinweg absichert. Im Zentrum steht TrendAI Vision One™, eine einheitliche Cybersicherheitsplattform, die das Management von Cyberrisiken und Sicherheitsoperationen zentralisiert, um den gesamten KI-Lebenszyklus von der Infrastruktur über Modelle bis hin zu den Nutzern zu schützen. In diese Plattform fließen weltweit einzigartige Threat Intelligence und Forschungsergebnisse ein, die dabei helfen, Unternehmen vor Hunderten Millionen von Bedrohungen täglich zu schützen. Mit 6.000 TrendAI™ Experten in 75 Ländern versetzt TrendAI™ Sicherheitsverantwortliche in die Lage, Bedrohungen voraus zu sein und proaktive Sicherheit über die gesamte Angriffsoberfläche voranzutreiben. Dazu zählen kritische Umgebungen wie AWS, Google, Microsoft und NVIDIA. AI Fearlessly.
Passende Artikel zum Thema
Vertrauensmissbrauch auf legitimen Domains: Angreifer kapern Claude.ai-Sharing-Funktion für Schadcode-Kampagnen
Fachliche Einordnung Die Fachplattform B2BCS ordnet die jüngsten Entdeckungen der Analysten von TrendAI als hochentwickelten Wendepunkt im Bereich des Malvertising und Social Engineerings ein. Der fundamentale Schutzansatz der letzten zwei Jahrzehnte – das Prüfen von URLs und SSL-Zertifikaten auf Plausibilität – wird hier gezielt ausgehebelt. Indem Angreifer keine täuschend echten Phishing-Kopien erstellen, sondern die offizielle, vertrauenswürdige Infrastruktur von Anthropic (claude.ai) als Hosting-Plattform für ihre Angriffe nutzen, laufen traditionelle Reputationsfilter und Secure Web Gateways (SWG) vollständig ins Leere.
Key-Takeaways
- Infrastruktur-Kaperei statt Phishing-Domains: Die gesamte Angriffskette operiert auf der echten, legitim zertifizierten Domain von Claude.ai. Sicherheitsmechanismen, die auf Domänenreputation basieren, schlagen keinerlei Alarm.
- Täuschung über Google Ads: Die Angreifer schalteten über einen Zeitraum von sieben Wochen gezielte Werbeanzeigen für populäre Entwickler- und KI-Werkzeuge wie Claude, ChatGPT und Cursor. Der Klick führte direkt zu einer freigegebenen, legitimen Chat-Konferenz (Sharing-Funktion) auf Claude.ai.
- Social Engineering gegen Tech-Profis: Die Kampagne zielte gezielt auf technisch versierte Anwender. Über gefälschte „Support-Anweisungen“ im geteilten Chat wurden die Opfer dazu verleitet, einen scheinbar harmlosen Terminal-Befehl auszuführen. Dieser installierte im Hintergrund einen Infostealer, der Passwörter, Browser-Daten und Krypto-Wallets exfiltrierte.
- Agiler Optimierungszyklus im Untergrund: TrendAI dokumentierte innerhalb des Beobachtungszeitraums sechs unterschiedliche Angriffswellen und über 100 bösartige Hostnamen. Ein Schwerpunkt der Kampagne lag in der APAC-Region, wobei Taiwan knapp ein Drittel des globalen Opfer-Traffics verzeichnete. Nach der Meldung an Anthropic wurden die betroffenen Inhalte umgehend entfernt.
Strategische Analyse Für CISOs und IT-Sicherheitsarchitekten demonstriert dieser Fall das massive Risiko von „Living off Trusted Infrastructure“ (LoTI). Wenn Plattformen mit kollaborativen Elementen wie Publishing- oder Sharing-Features standardmäßig im Unternehmensnetzwerk freigegeben sind, mutieren sie zum perfekten Trojanischen Pferd. Wie die Forscher Fyodor Yarochkin und Ryan Flores betonen, testen und optimieren Angreifer diese Schnittstellen in Echtzeit. Da selbst IT-affine Mitarbeiter und Entwickler der echten Domain einer bekannten KI-Plattform vertrauen, greift das klassische Sicherheitsbewusstsein hier zu kurz. Das Vertrauen in die Domäne wird blind auf den dort dargestellten Inhalt übertragen.
Handlungsempfehlung: Unternehmen müssen ihre Abwehrmethoden dringend von reiner Domänen-Reputation auf eine strikte Inhalts- und Kontextkontrolle umstellen.
- Regulierung und Validierung von CLI-Befehlen (Endpoint Privilege Management): Da der Angriff auf der Ausführung eines Terminal-Befehls durch den Benutzer basiert, muss die Ausführung unautorisierter Skripte (z. B. PowerShell, Bash, curl/wget-Pipelines in die Shell) auf Endgeräten standardmäßig blockiert oder durch Application Control eingeschränkt werden. Entwickler-Clients benötigen hier gesonderte Überwachung.
- Erweiterung von Webfiltern auf URL-Pfadebene: Blockieren Sie in Ihren Web-Proxys oder Firewalls nicht pauschal die KI-Dienste, sondern schränken Sie den Zugriff auf Sub-Pfade ein. Das Aufrufen von geteilten, externen Konversationen (z. B.
claude.ai/share/*) sollte für Standardbenutzer unterbunden oder isoliert werden (Remote Browser Isolation), während die produktive Nutzung des Haupt-Tools erlaubt bleibt. - Schärfung von Awareness-Trainings für IT- und Dev-Teams: Sensibilisieren Sie insbesondere Ihre IT-Fachkräfte und Software-Entwickler dafür, dass Schadcode-Anweisungen vermehrt auf legitimen Plattformen wie GitHub, Hugging Face oder Claude.ai gehostet werden. Kein technischer Support eines Drittanbieters verlangt das ungeprüfte Einfügen von Terminal-Befehlen aus einer Web-Konversation.
„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“ Profitieren Sie von unserer SEO-Stärke: Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200