Mobile-Menu

Brand Impersonation Cyberkriminelle faken DeepSeek-Domains und stehlen Daten

Quelle: Pressemitteilung 2 min Lesedauer

Anbieter zum Thema

Zscaler Germany GmbH
Fsas Technologies GmbH
FAST LTA GmbH
FTAPI Software GmbH

Cyberkriminelle nutzen den Hype um das neue KI-Modell aus China aus: Indem sie bösartige PowerShell-Befehle über gefälschte DeepSeek-Seiten ausführen, installieren Cyberkriminelle einen Infostealer, der Daten der ahnungslosen Nutzer stiehlt.

Cyberkriminelle schmuggeln Schadcode in die Zwischenablage von Nutzern. Als Köder dienen gefälschte DeepSeek-Seiten, auf denen eine Verifizierung via CAPTCHA verlangt wird.(Bild: Brian Jackson - stock.adobe.com)
Cyberkriminelle schmuggeln Schadcode in die Zwischenablage von Nutzern. Als Köder dienen gefälschte DeepSeek-Seiten, auf denen eine Verifizierung via CAPTCHA verlangt wird.
(Bild: Brian Jackson - stock.adobe.com)

Das ThreatLabz-Team von Zscaler hat eine neue Bedrohungskampagne entdeckt, bei der Cyberkriminelle gefälschte DeepSeek-Webseiten erstellen, um Anmeldedaten, Finanz­informationen oder Krypto-Wallets zu stehlen. Während das chinesische Startup mit seinem KI-Modell seit Januar eine Menge Aufmerksamkeit erregt, haben es Cyberkriminelle ins Visier genommen.

Tarnung mithilfe von Steam und Telegram Accounts

Für ihre Operationen setzen die Akteure auf Markenimitation. Dafür erstellen sie gefälschte Webseiten, die die von DeepSeek imitieren und Nutzer dazu verleiten sollen, ein CAPTCHA zu lösen oder zu bestätigen, kein Roboter zu sein, was angeblich der Verifizierung dient. Währenddessen wird ein JavaScript ausgeführt, das automatisch einen bösartigen PowerShell-Befehl in die Zwischenablage des ahnungslosen Nutzers kopiert. Dieses Vorgehen wird als Clipboard-Injektions-Angriff bezeichnet.

Führt der User den zwischenkopierten Befehl aus, wird die Malware Vidar heruntergeladen und installiert.

Nach der Installation durchsucht Vidar gezielt gespeicherte Passwörter, Cookies und Krypto-Wallets und stiehlt sensible Daten. Um die Kommunikation mit den Command-and-Control-Servern (C2) zu verschleiern, nutzen die Angreifer legitime Plattformen wie Telegram und Steam. Konkret verstecken sie in öffentlichen Steam-Profilen und Telegram-Kanälen Informationen, die von der Malware ausgelesen werden, um zu erfahren, mit welchen Servern sie sich verbinden sollen.

Diese Imitationen der DeepSeek-Domain haben die Analysten von ThreatLabz bisher ausfindig gemacht:

  • presales-deepseek[.]com
  • deepseekaiagent[.]live
  • deepseekr1[.]club
  • deepseekonchain[.]com
  • deepseek-v3[.]xyz
  • deepseek-pro[.]cloud
  • deepseekai[.]club
  • deepseekpepe[.]site
  • deepseekai[.]global
  • deepseekpepe-eth[.]com
  • deepseeksol[.]com
  • trydeepseek[.]com
  • sale-deepseek[.]com
  • deepseekpumpfun[.]com
  • deepseektrump[.]xyz
  • deepseekaiclaim[.]live
  • deepseek2025[.]xyz
  • deepseekfree[.]xyz
  • deepseekai[.]today
  • deepseek-adverting[.]icu
  • deepseekclaim[.]live
  • deepseekt[.]org
  • deepseek-trump[.]xyz
  • deepseek4youtube[.]com
  • deepseekaigames[.]site
  • deepseek[.]express
  • deepseeksky[.]com
  • deepseekfart[.]xyz
  • chatdeepseek[.]app
  • deepseekaieth[.]com
  • deepseekcaptcha[.]top
  • deepseek[.]top
  • deepseekai-eth[.]fun
  • deepseek[.]app
  • deepseek[.]art
  • deepseekpg[.]bet
  • deepseekjulebu[.]shop

Schutz vor Infostealern

Um sich vor Schadprogrammen wie Vidar zu schützen, sollten User achtsam sein und Sicherheitslösungen einsetzen. Einige Maßnahmen sind:

  • Nicht unbedacht Inhalte aus der Zwischenablage ausführen, besonders aus unbekannten Quellen.
  • Ein Netzwerkmonitoring einsetzen, um ungewöhnliche Verbindungen zu Steam- oder Telegram-APIs zu erkennen.
  • Eine Multi-Faktor-Authentifizierung (MFA) verwenden, um den Missbrauch gestohlener Zugangsdaten zu erschweren.

(ID:50352243)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte