Google-Ads als Malware-Auslieferer: der Fall MacSync Stealer

„Everything gets zipped into a single archive, ready to be sent out over the internet in small pieces." — Beelzebub-Labs-Analyse, zitiert in Lucas Martin, „Fake 'Claude Code' Google Ad Delivers MacSync Stealer, Hijacks Ledger Wallets on macOS", CyberPress, 1. Juli 2026

Es beginnt mit einer Google-Suche. „claude code mac install" tippt jemand ein — Entwicklerin, DevOps-Engineer, Data Scientist, jemand aus der wachsenden Gruppe, für die Anthropics Terminal-Werkzeug im Alltag inzwischen genauso präsent ist wie git oder jq. Der oberste Treffer ist eine gesponserte Anzeige. Und die führt nicht auf anthropic.com, sondern auf eine Google-Sites-Seite mit gefälschtem Download-Counter, „Copy command"-Button und beruhigenden Screenshots eines Terminal-Fensters, in dem alles genau so passiert, wie es passieren soll.

Nur passiert es dann anders. Der kopierte Base64-Befehl entpackt sich zu einem Skript, das den MacSync-Stealer nachlädt. In wenigen Sekunden sind Schlüsselbund, Chromium-Password-Vault, SSH-Keys, Cloud-Tokens, Telegram-Sessions, Apple-Notes-Inhalte und alles unter ~/Desktop, ~/Documents, ~/Downloads in einem ZIP-Archiv. Wer eine Ledger-Wallet-App installiert hat, bekommt fünf Sekunden nach dem nächsten Start einen Fake-Fehler-Screen mit Original-Ledger-Branding, der zur Seed-Neueingabe auffordert.

Die Kampagne wurde von Beelzebub Labs analysiert und in einem Bericht von CyberPress am 1. Juli detailliert dokumentiert. Google hat den Ad binnen 24 Stunden entfernt. Neue Domain, neue Seite, gleicher Ablauf — das ist die Prognose der Analysten, und sie ist realistisch.

Warum dieser Angriff für die Post-2025-Devtool-Kultur so gut passt

Drei Beobachtungen aus dem Bericht verdienen mehr Aufmerksamkeit, als sie in den meisten Threat-Feeds bekommen werden.

Erstens: Google Sites rendert per JavaScript. Für Security-Scanner, die eine URL abrufen und den HTML-Payload lesen — sei es VirusTotal, sei es SafeBrowsing-crawls, seien es interne SOC-Werkzeuge — sieht die Angriffsseite aus wie ein leeres Google-Sites-Template. Die eigentliche Attack-Chain existiert erst nach JS-Ausführung. Wer heute Devtool-Downloads über einen HTTP-Fetch-basierten Scanner filtert, sieht das nicht.

Zweitens: Der Angriff ist unspezifisch gegenüber Anthropic. Claude Code ist der Aufhänger, aber das Muster funktioniert mit jedem Devtool, dessen offizielle Install-Anleitung „paste this command in your terminal" lautet — also praktisch der gesamten modernen Werkzeuglandschaft von Homebrew und uv bis pnpm, nvm und deno. Die Angreifer haben eine Vorlage, die sich nach Belieben umbrandet. Der interne Payload-Tag „claude1" verrät die Templatisierung.

Drittens: Priming ersetzt Rechtevergabe-Awareness. Ein Screenshot auf der gefälschten Landing-Page zeigt eine Terminal-Session mit „Write admin password: **** ✓". Wer das gesehen hat, ist mental vorbereitet, gleich einen Passwort-Dialog zu sehen — und tippt ihn ohne Zögern. Awareness-Trainings, die „achte auf Passwort-Prompts" predigen, greifen genau dann nicht, wenn der Nutzer den Prompt selbst erwartet.

Der wirklich unangenehme Teil: die Ledger-Injection

Der Standardteil des Angriffs — Credential-Harvest, ZIP-Upload — ist Handwerk. Der Ledger-Teil ist Handwerkskunst.

Statt den Seed direkt aus dem Speicher zu ziehen (was gegen Hardware-Wallets ohnehin nicht funktioniert), ersetzt der Stealer Kern-Dateien der Ledger-Anwendung und re-signiert die App neu, um Apples Integrity-Check zu umgehen. Bei nächstem App-Start läuft die manipulierte Version, wartet fünf Sekunden, blendet dann einen Fake-Fehler-Screen mit korrektem Ledger-Design ein und fordert den Seed zur „Wiederherstellung" an. Ein russischsprachiger Kommentar im injizierten Code — „insert here" — deutet auf eine wiederverwendbare Malware-Vorlage, die vermutlich schon länger gegen mehrere Wallet-Marken benutzt wird.

Dies ist der Angriff, den ein CISO fürchten sollte, dessen Team Krypto-Assets für den Arbeitgeber verwaltet. Und der ist in Deutschland unter MiCA seit Anfang 2025 kein Randfall mehr: Custody-Provider, Krypto-Sekundärhandel, betriebliche Wallets bei Web3-Firmen, Blockchain-Analytics-Teams. Wer eine Ledger als Corporate-Cold-Storage nutzt, hat mit einem einzigen Dev-Laptop-Kompromiss potentiell die gesamte Firma auf dem Tisch.

Was das für Deutschland konkret bedeutet

Vier Beobachtungen für die deutsche Betriebs-Wirklichkeit:

1. Malvertising ist im Devtool-Markt angekommen. Bisher waren die klassischen Malvertising-Ziele Windows-Home-User (fake Zoom, fake Teams, fake Chrome). Der MacSync-Fall zeigt, dass die Ökonomie jetzt auch für macOS-Devs stimmt — hohe Ziel-Kaufkraft, plausibel wallet-affine Nutzergruppe, weniger EDR-Coverage als bei Corporate-Windows-Endpoints.
2. curl … | sh-Installer sind ein systemisches Risiko. Nicht der einzelne Ad, sondern die Kultur, Terminal-Befehle unbesehen aus Landing-Pages zu kopieren. Für interne Devtools sollte jede Firma auf paketierte Distributionen (Homebrew-Tap, apt-Repository, versionierte Docker-Images) umstellen — nicht auf „paste this to install".
3. DNS- und Ad-Filter helfen mehr als EDR-Signaturen. C2-Domain im hier dokumentierten Fall: oklahomawarehousing.com. Frisch registriert, kein legitimer Zweck. NextDNS, Pi-hole, Cloudflare Zero Trust — die haben ähnliche Malvertising-Bursts letzte Woche in einer Stunde geblockt. Corporate-Endpoint-DNS mit reputation feed macht mehr Unterschied als jede Signatur-Update-Runde.
4. Ledger-App-Integrität lässt sich prüfen. macOS codesign --verify --deep --strict gegen die installierte Ledger-App zeigt eine Re-Signierung an, weil das Team-ID-Zertifikat der Angreifer sich nicht mit Ledgers Original-Signatur deckt. Eine 10-Zeilen-Shellskript-Prüfung als monatlicher Cron auf jedem Corporate-Mac ist billig.

Was in unser Threat-Feed einfließt

Wir werden die dokumentierten IOCs in unseren MISP-Push-Export der nächsten 24 Stunden aufnehmen — die SHA-256 des Droppers und die C2-Domain sind kleine, klare Datenpunkte, die auf Customer-Tier-Wazuh-Instanzen sofort ausrollen können. Wer sich unter intel.neosec.io/ioc/{hash} mit bd348a40261aa2d95566ccdc4e6f304ff25aa97d34e5c713c77c937583ad04f0 einen Direktzugriff sichern will, kann das ab morgen tun.

Wichtiger als der einzelne Hash ist aber der Vorlage-Charakter. „claude1" ist ein Tag im Payload — was der nächste Tag heißt („cursor1"? „warp1"? „zed1"?), lässt sich mit einiger Trefferwahrscheinlichkeit erraten. Wer aktuell für sein Team gefragt wird, welche Devtool-Domains man auf einer Allowlist führen sollte, hat gerade eine sehr konkrete Motivation für die Antwort.

Fazit

Das eigentliche Problem ist nicht Anthropic, nicht Google, nicht Ledger. Es ist eine Angriffsökonomie, in der einzelne Malware-Autoren mit einem 20-Euro-Google-Ad-Budget in wenigen Stunden hunderte Entwickler-Endpoints in Reichweite bringen können — und in derselben Kampagne noch fünfstellige EUR-Beträge aus Wallets ziehen. Beelzebub Labs hat die Kampagne sauber dokumentiert; Google hat den Ad in 24 Stunden entfernt. Beides ändert wenig an der Wahrscheinlichkeit, dass die nächste Variante in dieser oder nächster Woche live geht.

Was bleibt, ist Basisdisziplin: Installer nur aus dokumentierten Quellen, curl … | bash als roter Flag behandeln, DNS-Reputation ernst nehmen, und die eigene Ledger-App-Signatur monatlich verifizieren. Nichts davon ist neu. Und genau deswegen kommt es zu diesem Angriff.

Originalquelle nur englisch verfügbar: Lucas Martin, „Fake 'Claude Code' Google Ad Delivers MacSync Stealer, Hijacks Ledger Wallets on macOS", CyberPress, 1. Juli 2026. Technische Analyse: Giovanni Braccini, Beelzebub Labs.