Wie ChatGPT-Dialoge und Google-Ads MacStealer via Terminal einschleusen

Sicherheitsforscher haben ein neues, beunruhigendes Vorgehen offengelegt: Angreifer nutzen ChatGPT und Google-Anzeigen, um Mac-Besitzer dazu zu bringen, schädliche Terminal-Befehle auszuführen. Am Ende landet unbemerkt MacStealer auf dem Rechner – ein Trojaner, der iCloud-Passwörter, Dateien und Bankkartendaten abgreifen kann.

Nach Angaben von Huntress richtete sich die Kampagne an Menschen, die bei Google nach Anleitungen zum Freimachen von Speicherplatz in macOS suchten. Die Täter bauten einen echten ChatGPT-Dialog auf, führten eine höfliche Unterhaltung über Strategien zum Aufräumen – und schmuggelten dabei unauffällig einen gefährlichen Befehl ein. Den Link stellten sie anschließend öffentlich und schoben ihn per bezahlter Google Ads nach oben in die Trefferliste. Der Köder greift, weil alles wie Alltag wirkt: vertraute Oberfläche, hilfsbereiter Ton, versprochene Schnelllösung.

Wer den ChatGPT-Link sah, hielt ihn leicht für eine verlässliche Quelle und folgte den beschriebenen Schritten. Mit dem Terminal-Befehl installierte man jedoch in Wahrheit AMOS Stealer, eine Variante von MacStealer, die stillschweigend Passwörter einsammelt, Rechte bis auf Root-Ebene ausweitet und sich dauerhaft im System verankert. Dieselbe Masche kam auch in Grok-Chats auf X zum Einsatz.

Brisant ist daran vor allem, dass die Methode die Schutzmechanismen von macOS faktisch unterläuft. Da das System nutzerinitiierte Aktionen vertraut, erscheinen bei manuell eingegebenen Befehlen keine Warnhinweise.

Fachleute raten daher zu besonderer Vorsicht: Niemals Befehle ins Terminal kopieren, wenn die Herkunft nicht zweifelsfrei feststeht. Bezahlte Links bei Google sind keineswegs automatisch seriös, und die Popularität von ChatGPT kann eine trügerische Vertrautheit erzeugen. Nach Einschätzung der Experten gehört dies zu den ersten Angriffen, bei denen Kriminelle KI-Plattformen direkt als Köder nutzen – und der Ansatz dürfte sich weiterentwickeln.