Du suchst bei Bing nach der Claude-Desktop-App, klickst die oberste Anzeige an — und landest tatsächlich auf claude.ai, der echten Domain von Anthropic. Alles sicher? Leider nein. Genau mit dieser perfiden Masche haben Angreifer im Juli binnen zwei Tagen Mitarbeiter von mindestens 29 Organisationen in die Falle gelockt, wie die Sicherheitsforscher von Huntress aufgedeckt haben.
DER TRICK: Die Fälschung wohnt beim Original
Möglich machte es die Artifacts-Funktion von Claude: Damit lassen sich Code, Dokumente oder komplette Webseiten neben dem Chat rendern — und per öffentlichem Link freigeben, abrufbar ganz ohne Claude-Konto. Die Angreifer bauten als Artifact eine täuschend echte Claude-Download-Seite und veröffentlichten sie. Ergebnis: Eine Fake-Seite, gehostet auf der echten claude.ai-Domain.
Der einzige Hinweis auf den Schwindel: ein unscheinbarer Satz oben links — „Content is user-generated and unverified“. Den übersieht man leicht. Die gesponserte Bing-Anzeige lenkte die Opfer gezielt auf diesen Artifact-Link. Bis Anthropic die Seite nach Huntress‘ Meldung entfernte, war sie 7.100-mal aufgerufen worden.
SO SCHLUG DIE MALWARE ZU
Ein Klick auf den Download-Knopf führte erst auf claude.ai.download-app[.]us, später auf downloading-api.it[.]com — dort wartete ein Paket aus drei Teilen: eine umbenannte, aber legitim signierte JetBrains-Programmdatei, die für DLL-Sideloading anfällig ist, eine manipulierte libcef.dll mit dem eigentlichen Schadcode und eine Datei namens DockerDesktop.exe, die sich als geplante Aufgabe einnistet und den Rechner immer wieder neu infiziert.
Am Ende landet SectopRAT auf dem System — ein Fernzugriffs-Trojaner, der Kreditkartendaten, persönliche Informationen, Dateien und Passwörter abgreift und an die Angreifer schickt.
ENTLARVT: Ein alter Bekannter steckt dahinter
Huntress verfolgte die Spur bis zum Betreiber — und nutzte dafür übrigens selbst Claude. WHOIS-Daten verknüpfen die Registrierung mit zehn Domains seit Dezember 2025. Eine davon, polse[.]us, wurde von Microsoft im Rahmen der Operation Endgame beschlagnahmt, weil sie den Infostealer StealC hostete. Außerdem passt die Masche zu einer Kampagne vom April 2026, die über Docker Hub einen falschen Docker-Desktop-Installer verteilte — mit demselben libcef.dll-Trick. Das erklärt auch den kuriosen Dateinamen DockerDesktop.exe im aktuellen Paket.
SO SCHÜTZT DU DICH — 3 einfache Regeln
Regel 1: Lade Software NIE über Suchmaschinen-Anzeigen — tippe die offizielle Adresse direkt ein. Regel 2: Eine vertrauenswürdige Domain ist keine Garantie: Auch auf legitimen Plattformen kann nutzergenerierter Inhalt lauern. Achte auf Hinweise wie „user-generated“. Regel 3: Misstrauisch werden, wenn ein Download dich auf eine ganz andere Domain weiterleitet. Dass Claude-Software auch auf anderem Weg ins Visier gerät, zeigte zuletzt die Zero-Click-Lücke in den Desktop Extensions.