HP Wolf Security entdeckte einen gefälschten KI-Assistenten für den Kryptohandel, der Needle Stealer über eine bösartige ZIP-Datei auslieferte und auf infizierten Windows-Computern sieben Browser-Wallet-Erweiterungen ersetzte. Für die Bewerbung von tradingclaw[.]pro setzte die Kampagne auf Suchmaschinenmanipulation und bezahlte Anzeigen. Die Aktivitäten wurden in HPs Bedrohungsbericht vom September beschrieben, der auf zwischen April und Juni 2026 beobachteten Bedrohungen basiert.
Warum das wichtig ist
Der Installer nutzte eine legitime, digital signierte Microsoft-OLEView-Datei, um SmartScreen zu umgehen. Eine bösartige DLL lud den Stealer anschließend per process hollowing. Needle Stealer prüfte Chromium-Erweiterungs-IDs auf Phantom, Trust Wallet, Atomic Wallet, Coinbase Wallet, OKX Wallet, MetaMask und Tonkeeper.
Sobald ein Ziel gefunden war, beendete die Malware den Browser und fügte eine gefälschte Erweiterung in den bestehenden Ordner ein. Die Ersatz-Erweiterung stellte eine Verbindung zu von den Angreifern kontrollierter Infrastruktur her, lud Backup-Domains und zeigte realistisch wirkende Wallet-Anmeldemasken an, die zum Abfangen von Zugangsdaten dienten. HP erklärte, der Vorgang habe mit einem kompromittierten Endpunkt begonnen und nicht mit einem Einbruch bei Coinbase, MetaMask oder deren offiziellen Erweiterungen.
Auswirkungen auf den Markt
Die Kampagne stellt für Nutzer, die ungeprüfte KI-Trading-Tools herunterladen, ein direktes Sicherheitsrisiko dar. Das gilt besonders dann, wenn Suchanzeigen einen bösartigen Installer legitim erscheinen lassen. Malwarebytes hatte die TradingClaw-Kampagne zuvor dokumentiert und Needle Stealer mit anderen Malware-Loadern in Verbindung gebracht. Das deutet darauf hin, dass der gefälschte Assistent nur ein Verbreitungsweg innerhalb einer größeren Operation war.
HP nannte weder eine kampagnenweite Opferzahl noch einen aggregierten Betrag der Kryptoverluste. Nutzer sollten inoffizielle Wallet-Software und KI-Trading-Assistenten als Downloads mit hohem Risiko behandeln, die Herausgeber von Erweiterungen überprüfen und keine Wallet-Zugangsdaten in eine Ersatzoberfläche auf einem kompromittierten Gerät eingeben.
Häufig gestellte Fragen
-
Wie infizierte das gefälschte KI-Trading-Tool Windows-Computer?
Angreifer bewarben tradingclaw[.]pro über Suchmaschinenmanipulation und bezahlte Anzeigen. Opfer luden eine ZIP-Datei mit einer vertrauenswürdig wirkenden OLEView-Datei und einer bösartigen DLL herunter, die Needle Stealer lud.
-
Welche Wallet-Erweiterungen zielte die Malware an?
Needle Stealer prüfte auf Phantom, Trust Wallet, Atomic Wallet, Coinbase Wallet, OKX Wallet, MetaMask und Tonkeeper.
-
Wie ersetzte die Malware Browser-Wallet-Erweiterungen?
Sie identifizierte die anvisierten Chromium-Erweiterungen anhand ihrer 32-stelligen IDs, beendete den Browser und fügte eine bösartige Erweiterung in den bestehenden Erweiterungsordner ein.
-
Wurden Coinbase oder MetaMask in dieser Kampagne offiziell gehackt?
Nein. HP beschrieb den Vorfall als Kompromittierung eines infizierten Windows-Endpunkts, nicht als Einbruch bei Coinbase, MetaMask oder deren offiziellen Erweiterungen.
-
Berichtete HP, wie viel Kryptowährung gestohlen wurde?
Nein. HP nannte weder eine kampagnenweite Opferzahl noch einen aggregierten Betrag der Kryptoverluste.
WuBlockchain
CoinTelegraph
Lookonchain