Anthropic tvinger frem utlogging etter at skadevare kapret Claude-sesjoner

Anthropic advarte lørdag Claude-brukere om at infostealer-skadevare på deres personlige datamaskiner har stjålet aktive innloggingssesjoner. Dette har gjort det mulig for angripere å få tilgang til kontoer og bruke opp betalt kvote. Selskapet reagerte med å tvangslogge ut berørte brukere og fjerne lagrede betalingsmåter fra kontoene deres.bleepingcomputer+1

«Vi har nylig blitt oppmerksomme på en ondsinnet aktør som bruker vanlig infostealer-skadevare til å stjele Claude-innloggingssesjoner fra folks datamaskiner, for deretter å bruke disse sesjonene til å få tilgang til Claude-kontoer og bruke opp kvoten deres,» skrev Anthropic i en e-post til berørte brukere, som først ble delt av en mottaker på Reddit.bleepingcomputer

Slik fungerer angrepet

Kampanjen utnytter sesjonsinformasjonskapsler (session cookies) i stedet for passord. Når en bruker logger inn på Claude, lagrer nettleseren en informasjonskapsel som fungerer som bevis på autentisering. Infostealer-skadevare kopierer denne kapselen sammen med andre lokalt lagrede påloggingsopplysninger, slik at angriperne kan gjenbruke sesjonen uten å trenge brukerens passord eller tofaktorautentiseringskode.pasqualepillitteri

Det avslørende tegnet var bruksgrenser som tilsynelatende ble fylt opp og tømt mens kontoeierne ikke brukte tjenesten. Anthropic opplyser at deres egne systemer flagget den uvanlige aktiviteten.bleepingcomputer+1

Selskapet identifiserte seks involverte skadevarefamilier: Vidar, Lumma (LummaC2), StealC, RedLine og Acreed på Windows, samt Atomic Stealer (AMOS) på et lite antall Mac-er. Alle er velkjente, kommersielt distribuerte verktøy som selges på kriminelle markedsplasser: ingen av dem ble skrevet spesifikt for å ramme Claude.pasqualepillitteri+1

Skadevaren kom fra brukernes egne maskiner

Anthropic understreket at skadevaren ikke hadde noe med deres plattform eller servere å gjøre. «Vi har ingen grunn til å tro at denne skadevaren er relatert til Claude, installert via Claude, eller relatert til noe du har gjort med Claude,» skrev selskapet. Reddit-brukeren som først delte varselet, bekreftet at de hadde lastet ned et piratkopiert spill, som var kilden til at infostealeren havnet på systemet.searchenginejournal+1

Mobiltelefoner og nettbrett ser ikke ut til å være berørt. Infeksjonene var rettet mot stasjonære og bærbare datamaskiner som kjører Windows eller macOS.secnews+1

Hva berørte brukere bør gjøre

Anthropic advarte om at den tvungne utloggingen nøytraliserer sesjoner som allerede er stjålet, men fjerner ikke den underliggende skadevaren. Hvis infostealeren blir værende på maskinen, kan neste innloggingssesjon bli kapret like enkelt.pasqualepillitteri+1

Selskapet oppfordret brukere til å kjøre en virusskanning og rense enheten først, deretter endre passordet på e-postkontoen som er knyttet til Claude, og først etter det logge inn igjen og legge til betalingsmetoden på nytt. Siden infostealere rasket med seg alle lokalt lagrede påloggingsdetaljer, ikke bare de for Claude, anbefalte Anthropic å endre passord på andre tjenester også, og starte med nettbank og e-post.pasqualepillitteri

«Å logge deg ut av Claude stopper de stjålne sesjonene, men det fjerner ikke skadevaren,» advarte Anthropic. «Hvis den fortsatt er på datamaskinen din, kan din neste innloggingssesjon bli stjålet på samme måte.»bleepingcomputer