NERDMANFake Claude-Code-Leak infiziert Zehntausende mit Malware
Ein angeblicher Source-Code-Leak von Claude Code ging diese Woche viral auf GitHub. Zehntausende luden gierig herunter — und holten sich Trojaner auf den Rechner.
Was passiert ist
Unbekannte stellten ein Repository online, das angeblich den geleakten Quellcode von Anthropics Claude Code enthielt. Der Köder funktionierte perfekt: Entwickler stürzten sich drauf wie Fliegen auf Honig. Doch statt Source Code gab es Schadsoftware frei Haus.
Die Schadens-Bilanz
- Malware Nr. 1:** Vidar Stealer — klaut gespeicherte Passwörter, Browser-Cookies, Krypto-Wallets
- Malware Nr. 2:** GhostSocks — verwandelt infizierte Rechner in Proxy-Nodes für Kriminelle
- Downloads:** Zehntausende, bevor die Repositories entfernt wurden
- Ziel:** Entwickler — also Leute mit Zugang zu Produktivsystemen, API-Keys und Cloud-Infrastruktur
So lief der Angriff
Der Trick war simpel aber effektiv. Die Angreifer nutzten die Gier der Entwickler-Community auf proprietären Code aus. Wer den vermeintlichen Leak klonte und ausführte, aktivierte die eingebettete Malware. Die schlug dann im Hintergrund zu.
💡 Was das bedeutet
Entwickler sind Hochwertziele. Wer einen Dev-Rechner kompromittiert, hat potenziell Zugang zu Dutzenden Systemen, Repositories und Kundendaten. Ein einziger infizierter Laptop kann eine ganze Firma aufreißen.
Pro (aus Sicht der Angreifer)
- Perfektes Social Engineering: Hype um KI + Neugier auf proprietären Code
- Zielgruppe hat überdurchschnittlich viele Credentials auf dem Rechner
- Vidar + GhostSocks als Kombi maximiert den Schaden
Con (für die Opfer)
- Passwörter, Sessions und API-Keys vermutlich kompromittiert
- Rechner möglicherweise als Proxy für weitere Straftaten missbraucht
- Credential-Rotation und Incident Response nötig — das kostet Tage
Die Lektion
Kein seriöses Unternehmen "leakt" seinen Source Code auf GitHub. Wer sowas runterlädt und ausführt, handelt nicht nur naiv — sondern grob fahrlässig. Besonders Devs sollten wissen: Unbekannter Code wird in einer Sandbox geprüft, nicht auf dem Arbeitsrechner ausgeführt.
