Bedrohungsakteure machen sich eine verbreitete Gewohnheit von Entwicklern zunutze – Installationsbefehle direkt von Websites zu kopieren –, um über gefälschte Software-Installationsseiten Malware zu verbreiten.
Sicherheitsforscher von Push Security haben kürzlich eine Kampagne aufgedeckt, die sich gegen Nutzer von Anthropic’s Claude Code richtet, einem beliebten KI-Coding-Assistenten für die Kommandozeile.
Die Angreifer nutzen geklonte Websites und bösartige Suchanzeigen, um Opfer dazu zu bringen, informationsstehlende Malware auf Windows- und macOS-Systemen zu installieren.
„Angreifer verbreiten über bösartige Suchmaschinenanzeigen nahezu identische Klon-Websites beliebter Entwicklertools wie Claude Code mit gefälschten Installationsanweisungen – und bringen Opfer so dazu, statt der gewünschten Software Infostealer-Malware zu installieren“, sagten die Forscher.
Die InstallFix-Malware-Kampagne
Die Kampagne verdeutlicht ein wachsendes Sicherheitsrisiko, das mit der weitverbreiteten Nutzung einfacher Terminalbefehle zur Installation von Entwicklertools verbunden ist.
Viele moderne Dienstprogramme setzen auf einzeilige Installationsbefehle – häufig nach dem Muster „curl to bash“ –, die automatisch Skripte von einem entfernten Server herunterladen und ausführen.
Diese Methode macht die Installation zwar schnell und bequem, setzt aber zugleich ein erhebliches Vertrauen in die Quelle voraus, auf der das Skript gehostet wird.
Verweist der Befehl auf einen bösartigen Server, kann der Nutzer unwissentlich schädlichen Code direkt auf seinem System ausführen.
Laut der Untersuchung von Push Security zu dieser Kampagne nutzen die Angreifer diesen Ablauf aus, indem sie legitime Installationsseiten klonen und die den Nutzern bereitgestellten Befehle verändern.
Die Klon-Websites bilden die offiziellen Dokumentationsseiten beliebter Tools weitgehend nach, doch die Installationsanweisungen wurden so verändert, dass sie statt der vorgesehenen Software Malware abrufen.
Dieses Risiko wird durch die rasche Verbreitung KI-gestützter Entwicklertools wie Claude Code noch verstärkt.
Da sich KI-Coding-Tools über erfahrene Entwickler hinaus an ein breiteres Publikum mit weniger technischen Kenntnissen richten, könnten mehr Menschen Installationsanweisungen befolgen, ohne die Quelle sorgfältig zu überprüfen oder die ausgeführten Befehle zu kontrollieren.
So funktionieren InstallFix-Angriffe
InstallFix-Angriffe setzen auf eine einfache, aber wirkungsvolle Form des Social Engineering.
Statt auf herkömmliche Phishing-Köder oder gefälschte Fehlermeldungen zurückzugreifen, geben sich die Angreifer einfach als offizielle Installationsseite eines beliebten Tools aus.
Die Klon-Website gleicht der legitimen Seite häufig nahezu perfekt – einschließlich Branding, Layout, Dokumentationsnavigation und Beispielbefehlen. Für einen durchschnittlichen Nutzer wirkt die Seite authentisch.
Der einzige wesentliche Unterschied liegt im Installationsbefehl selbst.
Statt das legitime Installationsskript von der offiziellen Claude-Code-Domain herunterzuladen, ruft der bösartige Befehl eine Payload von einem von den Angreifern kontrollierten Server ab.
Kopiert ein Nutzer den Befehl in sein Terminal und fügt ihn dort ein – wie es viele Installationsanleitungen vorgeben –, wird die Malware sofort auf dem System ausgeführt.
Die Claude-Code-Malware-Payload im Detail
In der Kampagne gegen Claude Code beobachteten die Forscher, wie die Malware über cmd.exe gestartet wurde; anschließend erzeugt cmd.exe eine Instanz von mshta.exe, um weitere Skripte von einer entfernten bösartigen Domain abzurufen und auszuführen.
Dieser mehrstufige Ausführungsprozess ermöglicht es den Angreifern, weitere Payloads herunterzuladen und sich dauerhaft auf dem Rechner des Opfers einzunisten.
Suchanzeigen zur Verbreitung von Malware
Um Opfer auf die gefälschten Installationsseiten zu lotsen, setzen die Angreifer stark auf Malvertising-Kampagnen.
Gesponserte Suchergebnisse erscheinen, wenn Nutzer nach Begriffen wie „Claude Code install“, „Claude Code CLI“ oder ähnlichen Suchanfragen suchen.
Da gesponserte Links häufig über den legitimen Suchergebnissen erscheinen, klicken Nutzer möglicherweise schnell darauf, ohne die URL genau zu prüfen.
Der Angriff ist besonders effektiv, weil Suchmaschinen in Vorschauen von Anzeigen manchmal Teile der Domain kürzen oder ausblenden und bösartige Domains dadurch legitimer wirken.
Malvertising umgeht zudem viele herkömmliche Sicherheitskontrollen. Statt einen verdächtigen E-Mail-Link zu erhalten, suchen die Opfer einfach nach einem Tool, das sie installieren möchten, und landen unwissentlich auf der Seite der Angreifer.
Die Forscher stellten fest, dass die in der Kampagne verwendete Payload den Signaturen von Amatera Stealer entspricht, einer relativ neuen Familie informationsstehlender Malware, die 2025 öffentlich in Erscheinung trat.
Amatera ist darauf ausgelegt, sensible Daten aus infizierten Systemen zu sammeln, darunter im Browser gespeicherte Zugangsdaten, Sitzungscookies, Authentifizierungstokens und weitere Systeminformationen.
Die Malware nutzt Umgehungstechniken wie die dynamische Auflösung von APIs sowie über die Infrastruktur legitimer Content-Delivery-Netzwerke (CDNs) geleitete Command-and-Control-Kommunikation, um Sicherheitsvorkehrungen zu umgehen.
Da sich der Datenverkehr mit legitimen Diensten vermischt, kann es schwierig sein, ihn zu blockieren, ohne den normalen Betrieb zu beeinträchtigen.
Malware-Kampagne tarnt sich auf vertrauenswürdiger Infrastruktur
Ein weiterer bemerkenswerter Aspekt der Kampagne ist die Nutzung legitimer Hosting-Plattformen zur Bereitstellung der bösartigen Seiten.
Die Forscher beobachteten geklonte Installationsseiten, die auf Diensten wie Cloudflare Pages, Squarespace und Tencent EdgeOne gehostet wurden.
Durch die Nutzung renommierter Infrastrukturanbieter können die Angreifer ihre Aktivitäten in normale Webverkehrsmuster einfügen und die Wahrscheinlichkeit verringern, dass die bösartigen Seiten sofort erkannt oder abgeschaltet werden.
Risiken durch InstallFix-Angriffe reduzieren
Da diese Angriffe nach dem InstallFix-Muster gängige Entwickler-Workflows ausnutzen – etwa das Kopieren von Installationsbefehlen von Websites –, müssen sich Schutzmaßnahmen sowohl auf die Verhinderung bösartiger Downloads als auch auf die Erkennung verdächtiger Aktivitäten in der Kommandozeile konzentrieren.
- Beim Herunterladen von Entwicklertools keine gesponserten Suchergebnisse anklicken und stattdessen die Installationsanweisungen direkt aus der offiziellen Dokumentation des Anbieters beziehen.
- URLs und Installationsbefehle vor ihrer Ausführung in einem Terminal überprüfen, insbesondere wenn Befehle Muster wie curl | bash verwenden, die entfernte Skripte herunterladen und ausführen.
- DNS-Filterung, sichere Web-Gateways oder Reputationskontrollen für Domains implementieren , um den Zugriff auf neu registrierte oder verdächtige Domains zu blockieren, die in Malvertising-Kampagnen verwendet werden.
- Endpoint-Erkennung und -Reaktion (EDR)-Tools einsetzen , um Aktivitäten in der Kommandozeile, die Ausführung von Skripten und verdächtige Prozessketten im Zusammenhang mit mehrstufigen Malware-Infektionen zu überwachen.
- Eine Positivlisten-Regelung für vertrauenswürdige Repositories durchsetzen und erwägen, interne Spiegelserver häufig verwendeter Entwicklertools zu hosten, damit Installationen nachweislich aus verifizierten Quellen stammen.
- Richtlinien für minimale Berechtigungen anwenden und administrative Zugriffe beschränken auf Entwicklerarbeitsplätzen, um die Auswirkungen bösartiger Installationsskripte zu begrenzen.
- Regelmäßig Pläne zur Reaktion auf Sicherheitsvorfälle testen und Angriffssimulationstools für Szenarien zur Ausnutzung der Software-Lieferkette einsetzen.
Zusammen helfen diese Maßnahmen Unternehmen, ihre Widerstandsfähigkeit gegen auf Entwickler zielende Malware-Kampagnen zu stärken und zugleich den potenziellen Schaden zu begrenzen, falls ein bösartiger Installationsbefehl ausgeführt wird.
Angreifer nehmen Entwickler-Workflows ins Visier
Die Kampagne verdeutlicht, wie Angreifer zunehmend auf vertrauenswürdige Entwickler-Workflows und schnell wachsende KI-Ökosysteme abzielen, um Malware in großem Maßstab zu verbreiten.
Da Tools wie Claude Code eine breitere Nutzerbasis ansprechen, kann das einfache Kopieren eines Installationsbefehls von einer Webseite zu einem wirkungsvollen Angriffsvektor werden, wenn Gegner die Quelle manipulieren.
Die zunehmenden Angriffe, die vertrauenswürdige Workflows und Entwicklertools ausnutzen, veranlassen Unternehmen dazu, Zero-Trust-Lösungen einzusetzen, die implizites Vertrauen reduzieren und die Auswirkungen einer einzigen kompromittierten Aktion begrenzen.