Malware: Vorsicht vor gefälschten KI-Tools

Unter den so verbreiteten Schadprogrammen finden sich alte Bekannte wie CyberLock, eine PowerShell-basierte Ransomware, die vornehmlich die Systeme ihrer Opfer verschlüsselt, oder Lucky_Gh0$t, eine Variante der Yashma-Ransomware. Aber auch eine neue Malware namens Numero wurde entdeckt. Dabei handelt es sich um einen besonders zerstörerischen Schädling, der Komponenten der grafischen Benutzeroberfläche (GUI) des Windows-Betriebssystems manipuliert und dadurch die Rechner unbrauchbar macht.

Dem Bericht der Sicherheitsforscher zufolge sind das primäre Ziel der Hacker Unternehmen im B2B-Sales- und Marketing-Bereich, da es sich bei den Installationsprogrammen um gefälschte Versionen von in diesem Sektor beliebten KI-Tools handelt. Als Beispiel nennen die Autoren die Webseite novaleadsai.com, die sich offenbar als KI-Lösung einer Lead-Monetarisierungsplattform namens NovaLeads ausgibt. Die Vermutung liegt nahe, dass die Webseiten SEO-optimiert wurden, um bei den Suchergebnissen eine möglichst hohe Platzierung zu erreichen.

Einmal auf der Webseite, wird dazu aufgefordert, das entsprechende Tool herunterzuladen. Um die Nutzer zu überzeugen, wird die kostenfreie Nutzung für ein Jahr versprochen. Erst danach soll ein monatliches Abo nötig sein. Doch wer auf diesen Trick hereinfällt, lädt nicht etwa ein KI-Tool herunter, sondern ein ZIP-Archiv, das eine ausführbare .NET-Datei („NovaLeadsAI.exe“) enthält, die am 2. Februar 2025 kompiliert wurde. Dem Tag, an dem die gefälschte Domain eingerichtet wurde. Die Binärdatei dient ihrerseits als Ladeprogramm für die Bereitstellung der PowerShell-basierten CyberLock-Ransomware, die dann die Daten verschlüsselt.

Doch auch vor bekannten KI-Tools wie ChatGPT machen die Cyberkriminellen nicht Halt. Hier fanden die Sicherheitsforscher einen gefälschten Installer, der die Malware Lucky_Gh0$t verbreitet hat, während in einer Fake-Version der Videobearbeitungs-KI InVideo AI die neue Malware Numero gefunden wurde.

Doch nicht nur bei Cisco Talos sind die gefälschten KI-Installer aufgefallen, auch Mandiant, ein Tochterunternehmen von Google, berichtet über eine Malvertising-Kampagne, die Nutzer per Anzeige auf Facebook und LinkedIn auf gefälschte KI-Webseiten locken soll. Zu den betroffenen Tools zählen unter anderem Luma AI, Canva Dream Lab und Kling AI.

Die Berichte machen einmal mehr deutlich, wie gefährlich es ist, Software aus ungeprüften Quellen herunterzuladen. Umso wichtiger ist es, genau zu prüfen, von welcher Seite man eine Software bezieht und im Zweifelsfall die Adresse einer Webseite manuell einzugeben, statt Anzeigen und Links im Netz zu vertrauen.