Gefälschte KI-Tools verbreiten Noodlophile-Malware über Facebook

MÜNCHEN (IT BOLTWISE) – In einer alarmierenden Entwicklung nutzen Cyberkriminelle gefälschte KI-Tools, um die Noodlophile-Malware über Facebook zu verbreiten. Diese Bedrohung zielt auf über 62.000 Nutzer ab, die nach KI-gestützten Anwendungen suchen.

Die jüngste Bedrohung durch die Noodlophile-Malware zeigt, wie Cyberkriminelle die Faszination für Künstliche Intelligenz ausnutzen, um ahnungslose Nutzer zu täuschen. Anstatt auf herkömmliche Phishing-Methoden oder manipulierte Softwareseiten zurückzugreifen, erstellen die Angreifer überzeugende Plattformen, die angeblich KI-gestützte Tools anbieten. Diese werden über scheinbar legitime Facebook-Gruppen und virale Social-Media-Kampagnen beworben, wie der Forscher Shmuel Uzan von Morphisec berichtet.

Die auf diesen Seiten geteilten Beiträge haben bereits über 62.000 Aufrufe pro Beitrag erzielt, was darauf hindeutet, dass Nutzer, die nach KI-Tools für Video- und Bildbearbeitung suchen, das Hauptziel dieser Kampagne sind. Zu den identifizierten gefälschten Social-Media-Seiten gehören Luma Dreammachine Al, Luma Dreammachine und gratistuslibros.

Die Nutzer, die auf diese Social-Media-Beiträge stoßen, werden aufgefordert, auf Links zu klicken, die KI-gestützte Content-Erstellungsdienste bewerben, darunter Videos, Logos, Bilder und sogar Websites. Eine der gefälschten Websites gibt sich als CapCut AI aus und bietet den Nutzern einen “All-in-One-Videoeditor mit neuen KI-Funktionen” an.

Sobald die ahnungslosen Nutzer ihre Bild- oder Videovorgaben auf diesen Seiten hochladen, werden sie aufgefordert, den angeblich KI-generierten Inhalt herunterzuladen. An diesem Punkt wird stattdessen ein bösartiges ZIP-Archiv (“VideoDreamAI.zip”) heruntergeladen. In der Datei befindet sich eine täuschende Datei namens “Video Dream MachineAI.mp4.exe”, die die Infektionskette startet, indem sie eine legitime Binärdatei von ByteDance’s Videoeditor (“CapCut.exe”) ausführt.

Diese C++-basierte ausführbare Datei wird verwendet, um einen .NET-basierten Loader namens CapCutLoader auszuführen, der letztendlich eine Python-Nutzlast (“srchost.exe”) von einem entfernten Server lädt. Die Python-Binärdatei ebnet den Weg für die Bereitstellung des Noodlophile-Stealers, der in der Lage ist, Browser-Anmeldedaten, Kryptowährungs-Wallet-Informationen und andere sensible Daten zu sammeln. In ausgewählten Fällen wurde der Stealer auch mit einem Remote-Access-Trojaner wie XWorm gebündelt, um einen dauerhaften Zugang zu den infizierten Hosts zu ermöglichen.

Der Entwickler von Noodlophile wird als vietnamesischen Ursprungs eingeschätzt, der auf seinem GitHub-Profil behauptet, ein “leidenschaftlicher Malware-Entwickler aus Vietnam” zu sein. Das Konto wurde am 16. März 2025 erstellt. Es ist bemerkenswert, dass die südostasiatische Nation eine florierende Cyberkriminalitätslandschaft beherbergt, die eine Geschichte der Verbreitung verschiedener Stealer-Malware-Familien hat, die auf Facebook abzielen.

Das Ausnutzen des öffentlichen Interesses an KI-Technologien durch böswillige Akteure ist kein neues Phänomen. Bereits 2023 berichtete Meta, dass mehr als 1.000 bösartige URLs aus seinen Diensten entfernt wurden, die OpenAI’s ChatGPT als Köder nutzten, um etwa 10 Malware-Familien seit März 2023 zu verbreiten.

Die Enthüllung erfolgt, während CYFIRMA eine weitere neue .NET-basierte Stealer-Malware-Familie namens PupkinStealer detailliert beschreibt, die eine breite Palette von Daten von kompromittierten Windows-Systemen stehlen und an einen von Angreifern kontrollierten Telegram-Bot exfiltrieren kann. “Ohne spezifische Anti-Analyse-Abwehrmechanismen oder Persistenzmechanismen verlässt sich PupkinStealer auf eine einfache Ausführung und ein unauffälliges Verhalten, um während seines Betriebs unentdeckt zu bleiben”, so das Cybersicherheitsunternehmen. “PupkinStealer exemplifiziert eine einfache, aber effektive Form von datendiebstahlender Malware, die gängige Systemverhalten und weit verbreitete Plattformen nutzt, um sensible Informationen zu exfiltrieren.”

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!