Betrügerische DeepSeek-TUI-Repositories auf GitHub dienen Hackern als Vehikel für Malware

Der Angriff folgt einem Muster, das in der Entwickler-Community zunehmend verbreitet ist: Cyberkriminelle erstellen überzeugende gefälschte Repositories auf GitHub, die das Erscheinungsbild und die Struktur eines echten Projekts nahezu perfekt nachahmen.

Unwissende Nutzer, die auf diese Seiten geraten, werden dazu getäuscht, was als legitimes Tool erscheint, herunterzuladen. In diesem Fall war das Malware-Programm in einer 7z-komprimierten Archivdatei versteckt, die sich auf der Releases-Seite des betrügerischen Repositories befand und so den Anschein eines normalen Software-Downloads erweckte.

Das QiAnXin Threat Intelligence Center war die erste Forschungsgruppe, die diese Kampagne im Detail identifiziert hat. Die Forscher stellten fest, dass die Merkmale des Malwares fast identisch mit einem zuvor offengelegten Spoofing-Angriff namens OpenClaw sind, den QiAnXin im März 2026 aufgedeckt hat.

Technik und Auswirkungen

Die gleichen bösartigen Domain-Namen, die in dieser früheren Kampagne verwendet wurden, tauchen auch hier auf, was darauf hindeutet, dass derselbe Bedrohungsakteur in einer fortlaufenden und sich weiterentwickelnden Rolle tätig ist.

Besonders besorgniserregend ist an dieser Kampagne die enorme Anzahl an gefälschten Installern mit KI-bezogenen Namen, die an derselben Angriffsinfrastruktur gebunden sind. Neben DeepSeek TUI stellten die Forscher gefälschte Dateien fest, die sich als Werkzeuge namens Claude, Grok, WormGPT, KawaiiGPT, fraudGPT und mehrere andere ausgaben.

Fake DeepSeek-TUI-Repository als Auslieferungsstelle für Malware genutzt Basierend auf einem gemeinsam genutzten PDB-Pfad namens „ClawCode.pdb", der in den Proben eingebettet gefunden wurde, sind alle diese bösartigen ausführbaren Dateien mit derselben in Rust geschriebenen Malware-Familie verknüpft, was auf einen koordinierten Angreifer hindeutet, der die Spoofing-Ziele ständig wechselt.

Sicherheitslage und Risiko

Die primäre Malware-Datei, die in dieser Kampagne identifiziert wurde, heißt DeepSeek-TUI_x64.exe, hat die MD5-Hash-Wert b96c0d609c1b7e74f8cb1442bf0b5418 und ein Kompilierungsdatum vom 29. April 2026. Bevor sie bösartiges Verhalten ausführt, führt sie eine umfassende Umgebungsprüfung durch, um festzustellen, ob sie in einer Sandbox ausgeführt wird.

Wenn sie Anzeichen einer virtuellen Maschine, bekannter Analysetools oder verdächtiger Systemmerkmale erkennt, zeigt sie die Meldung „Sorry, your system does not meet the minimum requirements" an und beendet sich leise.

Sobald die Malware bestätigt hat, dass sie auf einem echten Benutzersystem läuft, schaltet sie wesentliche Windows Defender-Schutzmechanismen mithilfe eines mit XOR-verschlüsselten PowerShell-Skripts aus.

Technischer Hintergrund

Es fügt sechs Ordnerausschlüsse hinzu, deaktiviert die cloudbasierte Berichterstattung, schaltet die Verhaltensüberwachung aus und öffnet drei eingehende Firewall-Ports: 57001, 57002 und 56001.

Der im Beispiel verwendete String-Decryption-Key lautet „xnasff3wcedj", und die Malware kontaktiert Pastebin- sowie snippet.host-Links, um Azure-hostete zweiteilige Payloads abzurufen. Die heruntergeladenen zweiteiligen Komponenten erfüllen jeweils eine spezifische Rolle zur Aufrechterhaltung des Zugriffs des Angreifers.

OneSync.exe und WinHealhCare.exe übernehmen die Installation und die Einrichtung sich über Telegram zurück. Die Komponente onedrive_sync.exe stellt die Persistenz über den Windows-Run-Registry-Eintrag sicher.

Technischer Hintergrund

Gleichzeitig fungiert svc_service.exe als residenter Kern, der NT-Systemaufrufe für Thread-Injektionen nutzt und.NET-Assemblys vollständig im Arbeitsspeicher lädt, um einer Erkennung auszuweichen.

Mehrstufige Persistenz und Umgehung Persistenzmechanismen durch die Kampagne macht es besonders schwierig, den Befall nach einer Systemkompromittierung zu entfernen. Die Malware kann über geplante Aufgaben, Registry-Einträge im Laufverzeichnis, Winlogon-Hooks und Startverknüpfungen überdauern.

Der zweiteilige Loader autodate.exe gibt sich als Dienstmanger aus und injiziert im Hintergrund Payloads in den Arbeitsspeicher. Als Command-and-Control-Domains werden mikolirentryifosttry.info und zkevopenanu.cfd genutzt.

Technik und Auswirkungen

Entwickler und Sicherheitsteams werden dringend aufgefordert, die Echtheit überprüfen, insbesondere bei KI-bezogenen Werkzeugen, die plötzlich öffentliche Aufmerksamkeit erregen. Prüfen Sie stets das Kontenalter, die Commit-Historie und die Anzahl echter Mitwirkender, bevor Sie eine Freigabe vertrauen.

Endpoint-Detection-Tools, die Techniken der Speicherinjektion und ungewöhnliche PowerShell-Aktivitäten überwachen, können ebenfalls dazu beitragen, diese Art ühzeitig zu erkennen. Die Re-Fang-Maßnahmen sind ausschließlich in kontrollierten Threat-Intelligence-Plattformen wie MISP, VirusTotal oder Ihrem SIEM durchzuführen. Sie uns auf