Anthropic kirjasi käyttäjiä ulos haittaohjelman kaapattua Claude-istuntoja

Anthropic varoitti lauantaina Claude-käyttäjiä siitä, että heidän tietokoneillaan pyörivät haittaohjelmat ovat varastaneet aktiivisia kirjautumisistuntoja. Tämän ansiosta hyökkääjät ovat päässeet käsiksi tileihin ja kuluttaneet niiden maksullista käyttöoikeutta. Yhtiö reagoi kirjauttamalla kyseiset käyttäjät pakolla ulos ja poistamalla tallennetut maksutiedot heidän tileiltään.bleepingcomputer+1

”Olemme hiljattain saaneet tietää toimijasta, joka käyttää yleisiä tiedonvarastamiseen tarkoitettuja haittaohjelmia Claude-kirjautumisistuntojen varastamiseen ihmisten tietokoneilta. Tämän jälkeen istuntoja käytetään Claude-tileille pääsyyn ja niiden käyttöoikeuden kuluttamiseen”, Anthropic totesi käyttäjille lähetetyssä sähköpostissa, jonka eräs vastaanottaja jakoi ensimmäisenä Redditissä.bleepingcomputer

Miten hyökkäys toimii

Kampanja hyödyntää salasanojen sijaan istuntoevästeitä. Kun käyttäjä kirjautuu Claudeen, selain tallentaa istuntoevästeen, joka toimii todisteena kirjautumisesta. Haittaohjelma kopioi kyseisen evästeen muiden paikallisesti tallennettujen kirjautumistietojen ohella, jolloin hyökkääjät voivat käyttää istuntoa uudelleen ilman, että he tarvitsevat käyttäjän salasanaa tai kaksivaiheisen tunnistautumisen koodia.pasqualepillitteri

Paljastava merkki oli se, että käyttörajoitukset näyttivät täyttyvän ja hupenevan silloinkin, kun tilin omistajat eivät käyttäneet palvelua. Anthropic kertoi omien järjestelmiensä havainneen epätavallisen toiminnan.bleepingcomputer+1

Yhtiö tunnisti kuusi hyökkäyksessä käytettyä haittaohjelmaperhettä: Windows-alustalla Vidar, Lumma (LummaC2), StealC, RedLine ja Acreed sekä pienellä määrällä Mac-tietokoneita Atomic Stealer (AMOS). Kaikki ovat tunnettuja, rikollisilla markkinapaikoilla kaupattavia kaupallisia haittaohjelmia, eikä mitään niistä ole kehitetty varta vasten Claudea vastaan.pasqualepillitteri+1

Haittaohjelma oli peräisin käyttäjien omilta laitteilta

Anthropic painotti, ettei haittaohjelmalla ole mitään tekemistä sen alustan tai palvelimien kanssa. ”Meillä ei ole syytä uskoa, että tämä haittaohjelma liittyisi Claudeen, olisi asennettu Clauden kautta tai liittyisi mihinkään, mitä teit Claudessa”, yhtiö kirjoitti. Ilmoituksen Redditissä ensimmäisenä jakanut käyttäjä vahvisti ladanneensa piraattipelin, jonka mukana haittaohjelma oli päätynyt järjestelmään.searchenginejournal+1

Punelimet ja tabletit eivät näytä altistuneen hyökkäykselle. Tartunnat kohdistuivat Windows- tai macOS-käyttöjärjestelmää käyttäviin pöytäkoneisiin ja kannettaviin.secnews+1

Mitä kyseisten käyttäjien tulisi tehdä

Anthropic varoitti, että pakotettu uloskirjautuminen mitätöi jo varastetut istunnot, mutta ei poista itse haittaohjelmaa laitteelta. Jos haittaohjelma jää tietokoneelle, seuraava kirjautumisistunto voidaan kaapata aivan yhtä helposti.pasqualepillitteri+1

Yhtiö kehotti käyttäjiä ensin ajamaan virustarkistuksen ja puhdistamaan laitteen, vaihtamaan sitten Claudeen liitetyn sähköpostitilin salasanan ja vasta tämän jälkeen kirjautumaan takaisin sisään ja lisäämään maksutavan uudelleen. Koska tiedonvarastajat vievät kaikki paikallisesti tallennetut kirjautumistiedot eivätkä vain Clauden tietoja, Anthropic suositteli vaihtamaan salasanat myös muissa palveluissa, aloittaen pankki- ja sähköpostipalveluista.pasqualepillitteri

”Uloskirjaaminen Claudesta pysäyttää varastetut istunnot, mutta se ei poista haittaohjelmaa”, Anthropic varoitti. ”Jos se on yhä tietokoneellasi, seuraava kirjautumisistuntosi voidaan varastaa samalla tavalla.”bleepingcomputer