Claude für Mac: Gefälschte Installer verbreiten Schadcode über Google-Anzeigen

Sicherheitsforscher warnen vor einer gezielten Angriffswelle auf Anwender von Apple-Rechnern. Nach Erkenntnissen des IT-Sicherheitsunternehmens Push Security werden Mac-Nutzer über Werbeanzeigen bei Google sowie manipulierte Verweise zu gefälschten Installationsprogrammen des KI-Assistenten Claude geleitet.

Wie foxnews.com in einem Bericht vom 17. Oktober 2026 meldete, missbrauchen die Angreifer etablierte Werbesysteme und mehrstufige Weiterleitungsketten, um bösartige Skripte auf die Rechner der Opfer zu schleusen.

Verschleierte Weiterleitungen über Werbenetzwerke

Bei einer Suche nach Begriffen wie „Claude Mac“ blendete Google Nutzern eine Werbeanzeige ein, die als scheinbares Ziel die Domain bing.com angab. Ein Klick auf diese Anzeige führte jedoch nicht zum Suchportal von Microsoft, sondern wurde über das Anzeigensystem von Google und das Klick-Tracking von Bing weitergeleitet.

Die Spur führte Betroffene zunächst auf eine kompromittierte WordPress-Webseite eines südamerikanischen Händlers und schließlich auf claude-desk-code[.]com, eine täuschend echt gestaltete Download-Seite für Claude.

Angesichts immer raffinierterer Angriffsmethoden auf Apple-Rechner ist die richtige Grundkonfiguration des Systems der erste Schritt zum Selbstschutz. Dieser kostenlose Ratgeber enthüllt die wichtigsten Sicherheits-Einstellungen, die kaum ein Einsteiger beim Start kennt. Was Apple-Experten jedem Mac-Anwender empfehlen

Um einer Entdeckung durch Sicherheitssysteme und Prüfer zu entgehen, nutzten die Kriminellen sogenanntes Cloaking: Riefen Analysten oder Nutzer die Zieladresse direkt und ohne die spezifische Klickkette auf, zeigte der Webserver lediglich einen 404-Fehler an.

Schadcode über die Mac-Befehlszeile

Auf der manipulierten Download-Seite befand sich eine Kopierschaltfläche, die als sogenannter Copy-Button fungierte. Betätigten Besucher diese Schaltfläche, kopierten sie unwissentlich einen Base64-kodierten Befehl in die Zwischenablage ihres Rechners. Dieser Befehl war darauf ausgelegt, ein Remote-Skript in der Z-Shell des Mac-Betriebssystems auszuführen.

Sicherheitsexperten stufen diese Vorgehensweise als eine Variante der bekannten Angriffsmuster InstallFix beziehungsweise ClickFix ein. Intern trug das bei dieser Kampagne eingesetzte Toolkit die Bezeichnung „AcSig“. Nach eigenen Erkennungsdaten von Push Security erreichen vier von fünf ClickFix-Angriffen ihre potenziellen Opfer über herkömmliche Suchmaschinen, da Anwender gesponserten Ergebnissen häufig ein hohes Vertrauen entgegenbringen.

Wer sich vor manipulierten Downloads und bösartigen Skripten schützen möchte, sollte seinen Mac von Anfang an optimal einstellen. Ein gratis PDF-Starterpaket verrät die cleveren Tricks, mit denen Sie Ihren Apple-Computer sicher und effizient nutzen. Zum kostenlosen Apple Mac Starterpaket

Reaktionen der beteiligten Plattformen

Auf die gemeldeten Vorfälle hin ergriffen die betroffenen Technologiekonzerne Gegenmaßnahmen. Google sperrte die Konten der Werbetreibenden, über die die bösartigen Anzeigen geschaltet worden waren. Microsoft teilte mit, dass die Sicherheitssoftware Defender die entsprechenden Indikatoren des Angriffs erkenne und blockiere.

Der Claude-Entwickler Anthropic reagierte bislang nicht auf Anfragen zu dem Vorfall. Welche finale Schadlast (Payload) durch das nachgeladene Skript letztlich auf den betroffenen Systemen platziert werden sollte, konnte bis zum Berichtszeitpunkt nicht abschließend identifiziert werden.