Google-Anzeigen führen in eine ClickFix-Falle
Cyberkriminelle verbreiten über gesponserte Google-Suchergebnisse gefälschte Downloads für OpenAI Codex. Die Anzeigen richten sich an Entwickler, die nach einer macOS-Version des Coding-Tools suchen. Sie führen auf Seiten im OpenAI-Design, die über Google Sites bereitgestellt werden.
Ein Download findet dort nicht statt. Stattdessen fordert die Seite dazu auf, einen vorgegebenen Befehl in das macOS-Terminal einzufügen. Diese Angriffsmethode wird als ClickFix bezeichnet: Das Opfer startet die Infektion selbst, weil der schädliche Befehl wie eine legitime Installationsanweisung aussieht.
Der entscheidende Täuschungsmoment liegt nicht in einer manipulierten Installationsdatei. Die gefälschte Seite bringt Entwickler dazu, den Schadcode eigenhändig in einer vertrauenswürdigen Systemumgebung auszuführen.
So wird der Schadcode auf dem Mac ausgeführt
Der angezeigte Befehl beginnt mit einer scheinbar regulären npm-Installation. npm ist der verbreitete Paketmanager des JavaScript-Ökosystems. An den sichtbaren Installationsbefehl ist jedoch weiterer Code angehängt.
Dieser Teil decodiert eine in Base64 verschleierte URL, lädt ein Shell-Skript von der Infrastruktur der Angreifer und führt es über zsh aus. zsh ist die standardmäßig verwendete Kommandozeilenumgebung aktueller macOS-Versionen. Das Skript meldet den erfolgreichen Zugriff an den Server der Täter und lädt anschließend eine Mach-O-Datei nach /tmp/helper.
Mach-O ist das native Format für ausführbare Dateien unter macOS. Vor dem Start entfernt das Skript Sicherheitsinformationen, mit denen macOS verdächtige Downloads kennzeichnet. Dadurch sollen Warnmeldungen des Betriebssystems umgangen werden.
| Stufe | Vorgehen der Angreifer |
|---|---|
| Verteilung | Gesponserte Google-Anzeige für einen angeblichen Codex-Download |
| Täuschung | Gefälschte Download-Seite im Design von OpenAI |
| Ausführung | Manipulierter Terminal-Befehl im Stil einer npm-Installation |
| Nachladen | Shell-Skript lädt eine Mach-O-Binärdatei nach /tmp/helper |
| Umgehung | macOS-Sicherheitskennzeichen werden vor dem Start entfernt |
| Unterstützte Macs | Intel-Prozessoren und Apple Silicon |
Ähnlichkeiten mit Atomic macOS Stealer
Die Analyse von Cato Networks wurde am 25. August 2026 veröffentlicht. Nach Einschätzung der Sicherheitsforscher weist die Schadsoftware deutliche Ähnlichkeiten mit Atomic macOS Stealer, kurz AMOS, auf. Eine abschließende Zuordnung zu dieser Malware-Familie liegt jedoch nicht vor.
Bei der Nutzlast handelt es sich um einen Infostealer, also Schadsoftware zum Entwenden sensibler Informationen. Welche Daten diese Variante im Detail abgreift, ist bislang nicht abschließend aufgeschlüsselt. Auch die Zahl der tatsächlich kompromittierten Entwickler oder Systeme ist nicht bekannt.
Gefälschte Claude-Code-Seite nutzt dieselbe Infrastruktur
Auf derselben Infrastruktur wurde eine parallele Kampagne entdeckt, die sich als Download-Seite für Claude Code von Anthropic ausgibt. Damit greifen die Täter gezielt die Nachfrage nach bekannten Coding-Agenten auf. Claude Code wird inzwischen auch über einen standardmäßig aktivierten Auto-Modus stärker in automatisierte Entwicklungsabläufe eingebunden.
Die Angreifer erschweren zugleich die Untersuchung ihrer Seiten. Der schädliche Inhalt wird über einen iFrame von einer separaten Infrastruktur eingebettet. Diese prüft unter anderem das Betriebssystem und den Zugriffsweg. Passt ein Besucher nicht zum gewünschten Profil, kann stattdessen harmloser Inhalt erscheinen.
Die Köderseite zeigte Schaltflächen für macOS und Linux. Beobachtet wurde die konkrete Infektionskette bislang jedoch nur bei Mac-Nutzern. Ob Google die betrügerischen Anzeigen und die Seiten auf Google Sites inzwischen entfernt hat, ist nicht bestätigt.
Unternehmen müssen Installationswege kontrollieren
Für Unternehmen im DACH-Raum ist die Kampagne besonders relevant, wenn KI-Coding-Tools dezentral getestet oder ohne geregelten Beschaffungsprozess installiert werden. Ein kompromittierter Entwicklerrechner kann Zugangsdaten, API-Schlüssel oder Quellcode gefährden. Welche dieser Daten die hier untersuchte Nutzlast tatsächlich entwendet, bleibt offen, das grundsätzliche Risiko eines Infostealers ist jedoch erheblich.
Bei einem möglichen Abfluss personenbezogener Daten muss zudem geprüft werden, ob eine meldepflichtige Datenschutzverletzung vorliegt. Daneben kann ein infizierter Entwicklungsrechner zur Gefahr für Build-Prozesse, Quellcodeverwaltung und nachgelagerte Systeme werden. Wie weit solche Angriffe reichen können, zeigt auch der Supply-Chain-Angriff auf LiteLLM-Pipelines.
KI-gestützte Eigenentwicklung reduziert zwar die Abhängigkeit von klassischen Software-Abos, ersetzt aber keine kontrollierte Softwareverteilung. Installationen sollten ausschließlich über dokumentierte Herstellerseiten, freigegebene Paketquellen oder interne Softwarekataloge erfolgen. Terminal-Befehle aus Anzeigen und Suchergebnissen dürfen nicht ungeprüft übernommen werden.
Technische Schutzmaßnahmen sollten durch organisatorische Regeln ergänzt werden. Dazu gehören eingeschränkte lokale Rechte, Endpoint-Erkennung, die Prüfung von Skripten vor der Ausführung und getrennte Zugangsdaten für Entwicklungsumgebungen. Menschliche Freigaben allein sind kein ausreichender Schutz, wie Untersuchungen zu Human-in-the-Loop-Kontrollen bei Coding-Agenten zeigen.