Sicherheitsforscher warnen vor einer Ausweitung der GhostClaw-Kampagne, bei der Angreifer GitHub-Repositories und KI-Workflows nutzen, um einen Infostealer zu verteilen. Ursprünglich wurde GhostClaw über manipulierte npm-Pakete bekannt, inzwischen setzen die Angreifer aber verstärkt auf GitHub-Projekte.
Diese Repositories treten als vermeintlich nützliche Tools auf – etwa Trading-Bots, SDKs oder Entwicklerwerkzeuge – und wirken durch Forks und Aktivität auf den ersten Blick vertrauenswürdig. Damit verschiebt sich die Bedrohung: Betroffen sind längst nicht mehr nur Entwickler, sondern alle, die Terminalbefehle aus Online-Anleitungen übernehmen oder KI-Agenten Code ausführen lassen. Wer solchen Anweisungen vertraut, riskiert, unbemerkt Schadsoftware zu starten. Ziel ist es, über populäre Repositories und automatisierte Workflows viele Systeme und ganze Organisationen zu erreichen.
Verbreitung von GhostClaw
Jamf Threat Labs beobachtet, dass die Projekte oft mit harmlos aussehendem Code beginnen, um Vertrauen aufzubauen und erst später um schädliche Bestandteile ergänzt werden. Die Installation wirkt wie ein normaler Setup-Prozess mit Fortschrittsanzeigen und Erfolgsmeldungen, während im Hintergrund versucht wird, Zugangsdaten – insbesondere macOS-Passwörter – abzugreifen. Jamf hat mehrere GitHub-Repositories identifiziert, die alle auf dieselbe Infrastruktur verweisen und Varianten derselben GhostClaw-Nutzlast ausliefern. Gemein ist ihnen eine mehrstufige Kette: ein Installationsskript, das Nutzende oder KI-gestützte Entwicklungsframeworks wie OpenClaw ausführen, um Datendiebstahl, das Nachladen weiterer Schadsoftware und die dauerhafte Verankerung auf dem System zu erreichen.
Angreifer versuchen Verbreitungsweg zu vergrößern
Anstatt einzelne Nutzer direkt ins Visier zu nehmen, können Angreifer mit diesem Ansatz über einen einzigen Verbreitungsweg eine größere Anzahl von Systemen befallen. Der Einsatz von mehrstufigen Repositories in Verbindung mit vertrauten Installationsabläufen erhöht die Wahrscheinlichkeit der Ausführung und weckt gleichzeitig weniger Verdacht. Anwender und Entwickler sollten bei der Ausführung von Installationsbefehlen, die aus Online-Inhalten stammen – einschließlich Repositories und automatisierter Tools –, weiterhin Vorsicht walten lassen. Die Überprüfung der Herkunft und des Verhaltens von Code vor der Ausführung bleibt ein entscheidender Schritt zur Risikominimierung.
Über Jamf
Ziel von Jamf ist es, Arbeit zu erleichtern und Unternehmen dabei zu unterstützen, die Nutzung von Apple-Endgeräten sicher und benutzerfreundlich zu gestalten. Jamf ist das einzige Unternehmen weltweit mit einer vollständigen Lösung für die Verwaltung und den Schutz von Endgeräten, die Sicherheit auf Enterprise Level gewährleistet, einfach zu bedienen ist und die Privatsphäre von Endbenutzern schützt.