SEO-Manipulation: Malware als KI-Tools getarnt

LONDON (IT BOLTWISE) – Eine neue Welle von Cyberangriffen nutzt SEO-Manipulationen, um Malware als scheinbar legitime KI-Tools zu tarnen. Diese Kampagne zielt auf kleine und mittelständische Unternehmen ab und zeigt, wie Cyberkriminelle Suchmaschinenoptimierung missbrauchen, um ihre Schadsoftware zu verbreiten.

Cyberkriminelle haben eine raffinierte Kampagne gestartet, die Suchmaschinenoptimierung (SEO) missbraucht, um Malware zu verbreiten. Dabei wird ein bekannter Malware-Loader namens Oyster verwendet, der auch als Broomstick oder CleanUpLoader bekannt ist. Diese Kampagne zielt darauf ab, Software-Profis zu täuschen, indem sie trojanisierte Versionen legitimer Tools wie PuTTY und WinSCP über gefälschte Websites anbietet. Laut Arctic Wolf wird beim Ausführen dieser Programme eine Hintertür installiert, die sich durch einen geplanten Task alle drei Minuten ausführt. Diese Methode nutzt die Registrierung von DLLs, um die Persistenz der Malware zu gewährleisten. Die Namen einiger dieser gefälschten Websites sind updaterputty[.]com und putty[.]run. Es wird vermutet, dass die Angreifer auch andere IT-Tools ins Visier nehmen, um die Malware zu verbreiten. Daher ist es wichtig, Software nur von vertrauenswürdigen Quellen herunterzuladen. Diese Enthüllung kommt zu einer Zeit, in der schwarze SEO-Techniken verwendet werden, um Suchergebnisse zu manipulieren, die mit KI-bezogenen Schlüsselwörtern verbunden sind. Ziel ist es, Malware wie Vidar, Lumma und Legion Loader zu verbreiten. Diese Websites sind mit JavaScript-Code ausgestattet, der Adblocker erkennt und Informationen vom Browser des Opfers sammelt, bevor er eine Umleitungskette initiiert, die das Opfer letztendlich zu einer Phishing-Seite führt. Die Endseiten dieser Kampagne liefern Vidar Stealer und Lumma Stealer als passwortgeschützte ZIP-Archive. Ein ähnlicher SEO-Angriff wurde beobachtet, bei dem Phishing-Seiten für beliebte Webanwendungen hervorgehoben werden, um Benutzer zu gefälschten Cloudflare-CAPTCHA-Seiten zu leiten. Diese nutzen die ClickFix-Strategie, um RedLine Stealer über Hijack Loader zu verbreiten. Laut Kaspersky sind kleine und mittelständische Unternehmen zunehmend Ziel von Cyberangriffen, bei denen Malware als beliebte KI- und Kollaborationstools getarnt wird. Zwischen Januar und April 2025 wurden etwa 8.500 Nutzer solcher Unternehmen angegriffen. Zoom war für etwa 41 % der einzigartigen Dateien verantwortlich, gefolgt von Outlook und PowerPoint mit jeweils 16 %. Die Anzahl der bösartigen Dateien, die ChatGPT imitieren, stieg in den ersten vier Monaten des Jahres 2025 um 115 % auf 177. Diese Angriffe nutzen auch gefälschte Suchergebnisse für technische Support-Seiten von Marken wie Apple und Microsoft, um legitime Seiten über gesponserte Ergebnisse in Google zu präsentieren, jedoch mit einem betrügerischen Twist. Besucher werden zur Support-Seite der Marke geleitet, aber anstelle der echten Telefonnummer wird eine betrügerische Nummer angezeigt. Diese Angriffe sind besonders heimtückisch, da die Parameter, die zur rechten Seite der echten Domain hinzugefügt werden, nicht im gesponserten Suchergebnis sichtbar sind. Auch auf Facebook wurden gefälschte Anzeigen geschaltet, um nach Kryptowährungs-Wallet-Wiederherstellungsphrasen zu phishen und Malware zu verbreiten. Diese Malware, die über Anzeigen verbreitet wird, die Benutzer dazu auffordern, eine neue Version der Pi Network-Desktop-App zu installieren, kann gespeicherte Anmeldeinformationen und Krypto-Wallet-Schlüssel stehlen. Eine rumänische Sicherheitsfirma vermutet, dass ein einzelner Bedrohungsakteur hinter diesen Aktivitäten steckt, der parallele Betrugsschemata betreibt, um Reichweite und finanzielle Gewinne zu maximieren. Diese Kampagnen gehen Hand in Hand mit einem Phänomen, bei dem Betrüger Netzwerke aus Tausenden von Websites einrichten, um beliebte Marken zu imitieren und finanziellen Betrug zu begehen. Eine solche Kampagne, bekannt als GhostVendors, kauft Facebook-Werbeflächen, um über 4.000 fragwürdige Websites zu bewerben. Diese gefälschten Marktplatzanzeigen werden für einige Tage geschaltet und dann gestoppt, wodurch alle Spuren aus der Meta Ad Library gelöscht werden. Eine weitere Kampagne zielt auf englisch- und spanischsprachige Käufer ab und wird als Werk chinesischer Bedrohungsakteure angesehen. Diese Websites sind hauptsächlich darauf ausgelegt, Kreditkarteninformationen zu stehlen, während sie behaupten, Bestellungen zu bearbeiten.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!