Google-Ads als Malware-Auslieferer: der Fall MacSync Stealer

„…ready to be sent out over the internet in small pieces." — aus der Analyse von Beelzebub Labs, zitiert bei CyberPress, 1. Juli 2026

Es beginnt mit einer Google-Suche. „claude code mac install" tippt jemand ein — Entwicklerin, DevOps-Engineer, Data Scientist, jemand aus der wachsenden Gruppe, für die Anthropics Terminal-Werkzeug im Alltag so präsent ist wie git oder jq. Der oberste Treffer ist eine gesponserte Anzeige mit dem Titel „Install Claude macOS", platziert über dem echten Anthropic-Eintrag. Sie führt nicht auf anthropic.com, sondern auf eine Google-Sites-Seite mit gefälschtem Download-Zähler und einer „Copy command"-Schaltfläche genau dort, wo die echte Installationsanweisung stünde.

Die Kette in sechs Stufen

Giovanni Braccini von Beelzebub Labs hat den Ablauf vom ersten Klick bis zum Diebstahl der Ledger-Wiederherstellungsphrase nachvollzogen. Das Ergebnis ist weniger ein Schadprogramm als ein Fließband:

1. Eine bezahlte Anzeige gibt sich als das legitime Werkzeug aus.
2. Sie führt auf eine geklonte Installationsseite, die auf automatisierte Prüfung ausgelegt ist.
3. Die Seite liefert einen Base64-verschleierten Terminal-Befehl.
4. Der Befehl löst einen gefälschten Systemdialog aus, der das macOS-Anmeldepasswort abgreift.
5. Mit dem Passwort läuft sofort die Massenernte der Zugangsdaten.
6. Ist eine Ledger-Anwendung installiert, übernimmt der Angreifer dauerhaft die Wallet-App selbst.

Warum der Angriff so gut zur heutigen Devtool-Kultur passt

Erstens: Google Sites rendert per JavaScript. Für Scanner, die eine URL abrufen und den ausgelieferten HTML-Code lesen, sieht die Angriffsseite aus wie ein leeres Template. Die Angriffskette entsteht erst nach der JS-Ausführung. Wer Devtool-Downloads über einen HTTP-Fetch-basierten Scanner filtert, sieht davon nichts.

Zweitens: Der Angriff hat mit Anthropic nichts zu tun. Claude Code ist der Köder, aber das Muster funktioniert mit jedem Werkzeug, dessen offizielle Installationsanleitung „paste this command in your terminal" lautet — praktisch der gesamten modernen Werkzeuglandschaft von Homebrew und uv bis pnpm, nvm und deno. Der interne Build-Tag claude1 verrät, dass die Vorlage sich beliebig umlabeln lässt.

Drittens: Priming schlägt Awareness. Die Seite enthält eine bebilderte Anleitung für Leute, die noch nie ein Terminal geöffnet haben. In einem der Screenshots einer erfolgreichen Sitzung steht die Zeile „Write admin password: **** ✓". Zu diesem Zeitpunkt ist nichts installiert und nichts eingegeben worden — aber dem Opfer wurde vorab gezeigt, dass die Passworteingabe zum Ablauf gehört. Wenn Minuten später der echte Dialog erscheint, fühlt er sich nicht wie ein Warnsignal an, sondern wie Schritt vier von sechs.

Was der Stealer tut

Der kopierte Befehl lädt ein kleines Skript, das ein größeres komprimiertes Skript nachlädt, das schließlich die eigentliche Nutzlast startet: ein AppleScript-Programm, das sich intern als „MacSync Stealer" Version 1.1.2 ausweist.

Sein erster Schritt ist das erzwungene Beenden des Terminals — damit verschwindet der Befehl aus der sichtbaren Historie. Sein zweiter ist der entscheidende: Er zeigt einen Dialog, der pixelgenau wie eine macOS-Systemabfrage aussieht, inklusive Apples Schlosssymbol. Jeden Eingabeversuch prüft er im Hintergrund mit einem unauffälligen Systembefehl, der keine Sicherheitsmeldung auslöst. Er kann also einfach warten, bis das richtige Passwort getippt wird.

Dieses Passwort ist der Generalschlüssel. Es öffnet die verschlüsselte Schlüsselbunddatei und den Speicher, in dem Chrome und andere Chromium-Browser jedes gemerkte Passwort ablegen. Danach arbeitet die Software eine Liste ab: über ein Dutzend Browser, dutzende Krypto-Erweiterungen, SSH- und Cloud-Zugangsdaten, Telegram-Sitzungen, Apple Notes und alles Sensible unter ~/Desktop, ~/Documents und ~/Downloads.

Wichtig für die Nachsorge: Wer später eine legitime Schlüsselbund-Berechtigungsabfrage verweigert, verhindert nichts mehr. Der Angreifer hat zu diesem Zeitpunkt bereits die rohe Schlüsselbunddatei und das Passwort, um sie offline zu öffnen.

Die Ledger-Zeitbombe

Für die meisten Opfer endet es hier. Ist jedoch Ledger Live oder Ledger Wallet installiert, wird der Angriff geduldig.

Statt die Seed-Phrase sofort zu suchen — was gegen eine Hardware-Wallet ohnehin nicht funktioniert —, ersetzt der Stealer eine Kerndatei der Wallet-Anwendung und signiert die App neu, damit macOS sie nicht als beschädigt meldet. Die echte Ledger-Anwendung des Opfers wird zum Auslieferungsweg.

In der veränderten Datei steht eine einzige injizierte Codezeile, markiert mit einem russischsprachigen Kommentar, der „hier einfügen" bedeutet — ein deutlicher Hinweis auf eine wiederverwendbare kriminelle Vorlage statt auf Einzelanfertigung. Fünf Sekunden nach dem Start der echten App, lange genug um normal zu wirken, tauscht diese Zeile das gesamte Fenster gegen einen gefälschten Fehlerbildschirm im offiziellen Ledger-Design, der zur Neueingabe der Seed-Phrase auffordert.

Fast jedes Element ist gegen eine bestimmte Form von Misstrauen gebaut: automatische Scanner gegen die JavaScript-Köderseite, menschliches Misstrauen gegen das vorweggenommene Passwort-Priming, Signaturerkennung gegen zufällig benannte Variablen bei jedem Build.

Der eingebaute Konstruktionsfehler — und was er für die Reaktion bedeutet

Ein Detail rettet Opfer durch Zufall. Sowohl der Datenupload als auch die Ledger-Übernahme hängen hinter einem letzten Popup: einer gefälschten Fehlermeldung, der Mac „unterstützt diese Anwendung nicht". Das Steuerskript hält an dieser Stelle vollständig an und läuft erst weiter, wenn jemand die Meldung wegklickt.

Praktisch heißt das: Wer den Laptop zuklappt, das Terminal hart beendet oder den Mac neu startet, bevor dieses Popup weggeklickt wird, dessen Daten werden nie hochgeladen und dessen Wallet-App wird nie angefasst. Der temporäre Ordner mit dem gesammelten Material wird beim nächsten Systemstart automatisch gelöscht.

Für die Erstberatung nach einem Verdachtsfall ist das die wichtigste Frage überhaupt: Wurde die Fehlermeldung weggeklickt? Sie entscheidet über den Unterschied zwischen Beinahe-Vorfall und Totalverlust.

Unabhängig von der Antwort gilt: Mac-Passwort ändern und alle im Browser gespeicherten Zugangsdaten rotieren — auch bei Unsicherheit, ob der letzte Dialog bestätigt wurde.

Was das für die deutsche Betriebswirklichkeit heißt

1. Malvertising ist im Devtool-Markt angekommen. Bisherige Ziele waren Windows-Privatnutzer: gefälschtes Zoom, gefälschtes Teams, gefälschtes Chrome. Der MacSync-Fall zeigt, dass die Rechnung inzwischen auch für macOS-Entwickler aufgeht — hohe Kaufkraft, plausibel Wallet-affine Zielgruppe, weniger EDR-Abdeckung als auf verwalteten Windows-Endpunkten.
2. curl … | sh ist ein systemisches Risiko. Nicht die einzelne Anzeige, sondern die Gewohnheit, Terminal-Befehle ungeprüft von Landing-Pages zu kopieren. Für interne Werkzeuge gehört das auf paketierte Verteilung umgestellt: eigener Homebrew-Tap, apt-Repository, versionierte Container-Images. Jeder Befehl mit langen kodierten Zeichenketten ist ein Abbruchkriterium.
3. DNS- und Werbefilter wirken hier besser als EDR-Signaturen. Die Stufen melden sich bei oklahomawarehousing.com. Endpunkt-DNS mit Reputationsdaten fängt frisch registrierte Domains, bevor eine Signatur existiert — und Signaturen greifen hier ohnehin schlecht, weil die Variablennamen pro Build wechseln.
4. Die Integrität der Ledger-App lässt sich prüfen. codesign --verify --deep --strict gegen die installierte Anwendung zeigt die Neusignierung an, weil das Team-ID-Zertifikat der Angreifer nicht zur Originalsignatur passt. Ein zehnzeiliges Shell-Skript als monatlicher Cron-Job auf jedem Firmen-Mac kostet nichts.

Für Unternehmen, deren Team Krypto-Werte verwaltet, ist das unter MiCA kein Randfall mehr: Verwahrstellen, Krypto-Sekundärhandel, betriebliche Wallets bei Web3-Unternehmen. Wer eine Ledger als Cold Storage einsetzt, hat mit einem einzigen kompromittierten Entwickler-Laptop potenziell alles auf dem Tisch.

Was in unseren Threat-Feed einfließt

Die dokumentierten Indikatoren — die Dropper-SHA-256 bd348a40261aa2d95566ccdc4e6f304ff25aa97d34e5c713c77c937583ad04f0 und die C2-Domain oklahomawarehousing.com — gehen in unseren MISP-Push-Export und stehen unter intel.neosec.io/ioc/{hash} zum Abruf bereit. Für Kunden mit XIEM-Anbindung rollen sie über die Customer-Tier-Wazuh-Instanzen aus.

Für die schnelle Triage eines Verdachtsfalls reicht oft schon ein Abgleich des Hashes gegen die Einreichungen einer öffentlichen Sandbox — das beantwortet in Sekunden, ob es sich um eine bekannte Variante dieser Kampagne handelt, bevor jemand eine vollständige manuelle Analyse beginnt.

Wichtiger als der einzelne Hash ist der Vorlagencharakter. claude1 ist ein Build-Tag; wie der nächste heißt, lässt sich mit einiger Treffsicherheit raten.

Fazit

Das Problem ist nicht Anthropic, nicht Google, nicht Ledger. Es ist eine Angriffsökonomie, in der ein einzelner Autor mit einem kleinen Anzeigenbudget binnen Stunden hunderte Entwickler-Endpunkte in Reichweite bringt. Beelzebub Labs hat die Kampagne gemeldet, Google die Anzeige binnen eines Tages entfernt — vergleichbare Köderseiten tauchen erfahrungsgemäß unter neuen Adressen wieder auf.

Was bleibt, ist Basisdisziplin: Installer nur aus der offiziellen Dokumentation oder dem Paketmanager, kodierte Zeichenketten im Terminal als Abbruchkriterium, DNS-Reputation ernst nehmen, die Signatur der eigenen Ledger-App regelmäßig prüfen. Nichts davon ist neu. Und genau deshalb funktioniert dieser Angriff.