Gefälschte Claude-App: Bing-Anzeige führte auf die echte Seite

Wer in den vergangenen Tagen bei Bing nach der Claude-Desktop-App gesucht hat, konnte sich Schadsoftware einfangen, ohne einen offensichtlichen Fehler zu machen. Die bezahlte Anzeige ganz oben führte auf claude.ai, die echte Adresse von Anthropic. Genau dort lag die Falle.

Das Sicherheitsunternehmen Huntress hat den Fall am 22. Juli veröffentlicht. Zwischen dem 21. und 22. Juli waren mindestens 29 Unternehmen betroffen. Huntress nennt die Kampagne FakeAgent.

Die gefälschte Seite lag auf Anthropics eigener Domain

Möglich wurde das durch eine Funktion namens Artifacts. Claude kann damit Code, Dokumente oder ganze Webseiten in einem eigenen Fenster neben dem Chat darstellen. Solche Artifacts lassen sich öffentlich teilen, danach kann sie jeder ohne Konto aufrufen. Die Angreifer bauten damit eine funktionierende Kopie der offiziellen Downloadseite und schalteten den Link als gesponserte Bing-Anzeige.

Der einzige Hinweis auf den Betrug stand klein oben links: "Content is user-generated and unverified", also nutzergenerierte und ungeprüfte Inhalte. Wer stattdessen auf die Adresszeile schaute, sah claude.ai und klickte. 7.100 Mal wurde die Seite aufgerufen, bevor Anthropic sie nach dem Hinweis von Huntress entfernte.

Der Download-Button führte dann doch nach draußen, zuerst auf claude.ai.download-app[.]us und weiter auf downloading-api.it[.]com. Der Trick steckt im Aufbau der Adresse. Das "claude.ai" ist hier nur eine Unterdomain vor der eigentlichen Domain download-app.us, die am 9. Mai registriert wurde.

Eine echte Datei mit fremdem Inhalt

Die heruntergeladene ClaudeDesktop.exe ist gar keine Claude-Software. Es ist eine echte, signierte Komponente von JetBrains, die für DLL-Sideloading anfällig ist. DLL steht für Dynamic Link Library, eine Programmbibliothek, die ein Programm beim Start nachlädt. Beim Sideloading legt der Angreifer eine manipulierte Fassung daneben, das saubere Programm lädt sie arglos mit, und der Schadcode läuft unter dem guten Namen der signierten Datei.

Am Ende der Kette steht SectopRAT, ein Fernzugriffstrojaner (Remote Access Trojan), der seit 2019 aktiv ist. Er greift Passwörter, Kreditkartendaten, Dateien, Browser-Logins samt Cookies, FTP-Zugänge, Daten aus Discord und Telegram sowie Steam- und VPN-Konten ab. Für dauerhaften Zugriff legt die Kampagne zusätzlich eine DockerDesktop.exe als geplante Aufgabe an, die den Rechner immer wieder neu infiziert.

Die Schadsoftware wehrt sich gegen Analyse. Sie ist gepackt und prüft Grafikkarte und Videospeicher, um virtuelle Maschinen zu erkennen, also die abgeschotteten Testrechner von Sicherheitsforschern. Huntress hat nach eigenen Angaben Claude Opus 4.8 zur Analyse eingesetzt, den Vorgänger des kürzlich erschienenen Claude Opus 5.

Die Masche ist nicht neu

Schon im Mai verteilte eine gefälschte Claude-Webseite über Google-Anzeigen eine Windows-Hintertür. Im April nutzte laut Huntress derselbe Akteur Docker Hub für einen gefälschten Docker-Desktop-Installer, mit exakt derselben manipulierten Bibliothek. Das erklärt, warum die Datei DockerDesktop.exe diesmal im Paket übrig geblieben ist.

Was du daraus mitnehmen kannst

Die Adresszeile beweist weniger, als die meisten glauben. Sobald eine Plattform nutzergenerierte Inhalte unter ihrer eigenen Domain ausliefert, und das tun claude.ai, Google Docs, GitHub und viele andere, sagt der Domainname nichts über den Inhalt aus. Software gehört deshalb nicht über eine Suchanzeige auf den Rechner. Die Claude-Apps gibt es bei Anthropic unter claude.com/download, andere Programme auf der Herstellerseite, die man direkt eintippt oder als Lesezeichen speichert. Gesponserte Treffer stehen oben, weil jemand dafür bezahlt hat, nicht weil sie geprüft wurden.

Falls doch etwas durchrutscht, zählt die zweite Verteidigungslinie. Ein Datendieb wie SectopRAT holt sich genau die Zugangsdaten, die im Browser gespeichert sind. Wie du deine Konten so absicherst, dass ein gestohlenes Passwort allein nicht mehr reicht, haben wir in einem eigenen Artikel zusammengefasst.