Manipulierte KI-Anleitungen verleiten MacOS-User zum Download eines Infostealers

Cyberkriminelle missbrauchen Google-Suchanzeigen, um MacOS-Nutzende zur Installation eines Infostealers zu verleiten. Die Betroffenen werden dabei auf trügerische ChatGPT- oder Grok-Chats umgeleitet, wo sie vermeintlich hilfreiche Anleitungen erhalten, wie "Bleepingcomputer" berichtet.

So funktioniert der Malware-Download

Wie "Bleepingcomputer" unter Berufung auf die beiden Cybersecurity-Anbieter Kaspersky und Huntress ausführt, startet der Betrugsversuch, wenn Nutzende auf Google nach spezifischen Anfragen im Zusammenhang mit MacOS suchen. Beispiele hierfür seien Hilfestellungen bei Problemen, Wartungsfragen oder Anleitungen zur Installation von Software, wie etwa dem Webbrowser Atlas von OpenAI. Das Sicherheitsunternehmen Huntress berichtet über ein Beispiel, bei dem nach "Festplattenspeicher unter MacOS freigeben" gesucht wurde. 

Nach einer solchen Anfrage erscheinen unter den Top‑Suchergebnissen Verweise auf manipulierte ChatGPT‑ und Grok‑Chats, die auf den echten Domains liegen, aber von den Angreifern erstellt wurden. In diesen Chats finden User laut Bericht vermeintlich reale Anleitungen für ihre Anfrage, die jedoch einen Terminal-Befehl enthalten. Werde dieser wie in der Anleitung empfohlen in das MacOS-Terminal kopiert und ausgeführt, starte ein bösartiges Skript.

Das Schadprogramm öffnet, wie es weiter heisst, anschliessend ein gefälschtes Systemfenster, das zur Passworteingabe auffordert. Wird dieses eingegeben, installiert man laut Bericht den Infostealer Amos (Atomic MacOS Stealer), der sensible Daten wie Passwörter, Browserdaten, Kryptowallet‑Informationen und weitere lokale Dateien sammelt. 

Ausnutzung von Vertrauen 

Laut Huntress handelt es sich bei dem Trick nicht um eine technische Schwachstelle in MacOS. Stattdessen würden die Angreifer auf gezieltes Social Engineering setzen, bei dem sie das soziale Verhalten und Vertrauen von Personen ausnutzen. Demnach schätzen User die Angaben auf den KI-Umgebungen als vertrauenswürdig ein und installieren die Schadsoftware dadurch eigenständig.

Das US-amerikanische Unternehmen schreibt, dass es sich um keinen Einzelfall handle, sondern um eine "gezielte, weit verbreitete Manipulationskampagne, die auf häufige Suchanfragen zur Fehlerbehebung abzielt".

Ende November hat das Jamf Threat Labs mit "Digistealer" übrigens einen neuen Infostealer entdeckt, der MacOS-Systeme ins Visier nimmt. Lesen Sie hier mehr dazu.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.