Hacker nutzen SEO-Poisoning, um Gemini CLI- und Claude-Code-Installer zu imitieren

Technik und Auswirkungen

Die gestohlenen Daten umfassen OAuth-Token, CI/CD-Zugangsdaten, Unternehmens-VPN-Details sowie Sitzungs-Cookies von Plattformen wie Slack, Microsoft Teams, Discord und Telegram.

Ein gültiges Sitzungs-Cookie ermöglicht einem Angreifer den direkten Zugriff auf den Arbeitsplatz eines Opfers, wobei sowohl Passwörter als auch die Zwei-Faktor-Authentifizierung umgangen werden. Dieser Zugang treibt die Nachfrage auf den unterirdischen Märkten für Zugangsbroker an.

Neben dem Diebstahl von Zugangsdaten bietet das Malware den Angreifern die Möglichkeit, zusätzlichen Code auf infizierten Rechnern remote auszuführen.

Markt und Strategie

Obwohl im Skript kein Persistenzmechanismus gefunden wurde, bedeutet diese Fähigkeit, dass Betreiber tiefergehende Eindringungen durchführen können und so aus einem einzelnen Entwickler-Workstation ein unternehmensweites Sicherheitsvorfall wird. Hacker nutzen SEO-Poisoning. Die Infektionskette ist einfach, aber effektiv.

Ein Entwickler sucht nach Anleitungen zur Installation von Gemini CLI oder Claude Code, und das erste Suchergebnis sieht exakt wie die offizielle Seite aus.

Im Rahmen der Gemini-Kampagne wurden Opfer auf geminicli[.]co[.]com geleitet, was die Ausführung eines PowerShell-Befehls auslöste, der stumm eine Infostealer-Payload namens Install.ps1 von gemini-setup[.]com herunterlädt. So überzeugend dieser Trick wirkt, liegt daran, dass die echte Gemini CLI parallel installiert wird.

Das legitime npm-Paket wird im Terminal

Das legitime npm-Paket wird im Terminal erfolgreich abgeschlossen, sodass Nutzer jeden Grund haben, davon auszugehen, dass nichts schiefgelaufen ist. Bis das Tool bereitsteht, hat der Infostealer bereits die Erfassung und Übertragung der Opferdaten abgeschlossen. Die Claude-Code-Kampagne folgte demselben Muster. Am 30.

März 2026 registrierte der Angreifer die Domains claudecode[.]co[.]com und claude-setup[.]com unter Verwendung identischer Namenskonventionen. Die geklonte Webseite entsprach der offiziellen Dokumentation so genau, dass sie die meisten Nutzer täuschen konnte, und die exfiltrierten Daten wurden an events[.]ms709[.]com gesendet.

Die Analysten von EclecticIQ haben sich von den zuvor untersuchten Bereichen, die auf passive DNS-Einträge basierten, abgewandt und einen Cluster von über 30 bösartigen Domänen entdeckt, die Node.js, Chocolatey, KeePassXC und Monero nachahmen.

Technik und Auswirkungen

Die meisten dieser Domänen wurden Ende März bis Anfang April 2026 registriert, was auf eine koordinierte und aktive Kampagne hindeutet. Fileloser PowerShell-Diebstahl zur Umgehung von Erkennungssystemen Sobald die zweite Stufen-Payload ausgeführt wird, deaktiviert sie sofort zentrale Windows-Verteidigungsmechanismen.

Sie patcht Event Tracing for Windows, um Protokollierung zu unterdrücken, und umgeht die Antimalware Scan Interface, sodass der Rest des Skripts unerkannt ausgeführt werden kann. Das Skript umfasst etwa 6.800 Zeilen Junk-Code und enthält einen Sandbox-Check, um Analyseumgebungen zu vermeiden.

Der Diebstahl lädt drei C#-Komponenten zur Laufzeit, um tiefgreifend in den Host einzudringen. Eine Komponente entleert Einträge aus dem Windows Credential Manager, eine weitere erfasst die Bildschirmauflösung zur Fingerabdruck-Erstellung, und die dritte listet laufende Prozesse über die Restart Manager API auf, um der Erkennung zu entgehen.

Alle Vorgänge laufen in PowerShell ab,

Alle Vorgänge laufen in PowerShell ab, ohne dass eine einzige Datei auf die Festplatte geschrieben wird. Um dieser Bedrohung entgegenzuwirken, empfiehlt EclecticIQ, nach dem Muster "irm | iex" in den Kommandozeilen-Protokollen zu suchen und versteckte PowerShell-Ausführungen zu melden.

Die Erzwingung des eingeschränkten Sprachmodus in PowerShell, die Nutzung von FIDO-Schlüsseln für privilegierte Konten sowie der Einsatz kurzlebiger OAuth-Token können die Schäden bei einem Diebstahl von Zugangsdaten erheblich begrenzen.

Indikatoren für Kompromittierungen (IoCs): - Domain: Indikator: geminicli[.]co[.]com; Beschreibung: Fälschliche Installationsseite für das Gemini CLI. - Domain: Indikator: gemini-setup[.]com; Beschreibung: Hostet die Last für den Infostealer-Downloader (Install.ps1). - Domain: Indikator: claudecode[.]co[.]com; Beschreibung: Fälschliche Installationsseite für Claude Code. - Domain: Indikator: claude-setup[.]com; Beschreibung: Hostet die Last für den Claude-Code-Infostealer. - Domain: Indikator: events[.]msft23[.]com; Beschreibung: C2-Server für die Gemini CLI-Kampagne.

Technischer Hintergrund

Bereich: Indikator: events[.]ms709[.]com; Beschreibung: C2-Server für die Claude-Code-Kampagne. Bereich: Indikator: api[.]bio9438[.]com; Beschreibung: Von Angreifern kontrollierte Infrastruktur. Bereich: Indikator: claudecode-install[.]co[.]com; Beschreibung: Von Angreifern kontrollierte Domain.

Hinweis: IP-Adressen und Domains wurden absichtlich defanged (z. B. [.] ), um eine unbeabsichtigte Auflösung oder das Erstellen von Hyperlinks zu verhindern. Defang nur innerhalb kontrollierter Bedrohungsinformationsplattformen wie MISP, VirusTotal oder Ihres SIEM. Tushar ist ein leitender Cybersicherheits- und Datenschutzreporter.

Er spezialisiert sich auf die Berichterstattung über Cybersicherheitsnachrichten, Trends und neue Bedrohungen, Datenpannen sowie Malware-Angriffe. Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen.

Die EU verhängt eine Rekord-Geldstrafe gemäß dem Digital Markets Act gegen Google wegen Missbrauchs der Selbstvorzugsstellung in der Suche. Kritische Memcached-SASL-Schwachstelle ermöglicht Angreifern die Inferenz gültiger Benutzernamen. Apache CXF LDAP-Injektionsschwachstelle ermöglicht Angreifern das Abrufen beliebiger Zertifikate.