Malware kapert Claude-Sitzungen: Anthropic meldet betroffene Nutzer ab

Anthropic hat Claude-Nutzer am Samstag davor gewarnt, dass Infostealer-Malware auf ihren persönlichen Computern aktive Login-Sitzungen gestohlen hat. Dadurch konnten Angreifer auf Konten zugreifen und das bezahlte Guthaben aufbrauchen. Das Unternehmen reagierte, indem es betroffene Nutzer zwangsweise abmeldete und gespeicherte Zahlungsmethoden aus ihren Konten entfernte.bleepingcomputer+1

„Uns ist vor Kurzem aufgefallen, dass ein böswilliger Akteur gängige Infostealer-Malware nutzt, um Claude-Login-Sitzungen von den Computern der Nutzer zu stehlen. Diese Sitzungen werden dann verwendet, um auf Claude-Konten zuzugreifen und deren Guthaben aufzubrauchen“, erklärte Anthropic in einer E-Mail an betroffene Nutzer, die zuerst von einem Empfänger auf Reddit geteilt wurde.bleepingcomputer

Wie der Angriff funktioniert

Die Kampagne nutzt Session-Cookies anstelle von Passwörtern aus. Wenn sich ein Nutzer bei Claude anmeldet, speichert der Browser ein Session-Cookie, das als Authentifizierungsnachweis dient. Infostealer-Malware kopiert dieses Cookie zusammen mit anderen lokal gespeicherten Zugangsdaten. So können Angreifer die Sitzung einfach wiederholen, ohne jemals das Passwort des Nutzers oder den Code für die Zwei-Faktor-Authentifizierung zu benötigen.pasqualepillitteri

Das verräterische Zeichen waren Nutzungslimits, die sich scheinbar aufluden und wieder leerten, während die Kontoinhaber den Dienst gar nicht nutzten. Anthropic erklärte, dass die eigenen Systeme die ungewöhnliche Aktivität registriert hätten.bleepingcomputer+1

Das Unternehmen identifizierte sechs beteiligte Malware-Familien: Vidar, Lumma (LummaC2), StealC, RedLine und Acreed auf Windows, sowie Atomic Stealer (AMOS) auf einer kleinen Anzahl von Macs. Bei allen handelt es sich um bekannte, kommerziell vertriebene Stealer, die auf kriminellen Marktplätzen verkauft werden: Keiner davon wurde speziell für Angriffe auf Claude entwickelt.pasqualepillitteri+1

Malware stammte von den Geräten der Nutzer

Anthropic betonte, dass die Malware nichts mit der eigenen Plattform oder den Servern zu tun habe. „Wir haben keinen Grund zu der Annahme, dass diese Malware mit Claude in Verbindung steht, über Claude installiert wurde oder mit irgendetwas zusammenhängt, das Sie mit Claude getan haben“, schrieb das Unternehmen. Der Reddit-Nutzer, der die Benachrichtigung zuerst geteilt hatte, bestätigte, dass er ein raubkopiertes Spiel heruntergeladen hatte, wodurch der Infostealer auf sein System gelangte.searchenginejournal+1

Smartphones und Tablets scheinen nicht betroffen zu sein. Die Infektionen zielten auf Desktop-Computer mit Windows oder macOS ab.secnews+1

Was betroffene Nutzer tun sollten

Anthropic warnte, dass die erzwungene Abmeldung zwar bereits gestohlene Sitzungen unbrauchbar macht, die zugrunde liegende Malware jedoch nicht entfernt. Wenn der Infostealer auf dem Gerät verbleibt, kann die nächste Login-Sitzung genauso leicht abgefangen werden.pasqualepillitteri+1

Das Unternehmen forderte die Nutzer auf, zuerst einen Virenscan durchzuführen und das Gerät zu bereinigen, dann das Passwort des mit Claude verknüpften E-Mail-Kontos zu ändern und sich erst danach wieder anzumelden und eine Zahlungsmethode neu hinzuzufügen. Da Infostealer alle lokal gespeicherten Zugangsdaten ausspähen und nicht nur die für Claude, empfahl Anthropic, auch die Passwörter für andere Dienste zu ändern, beginnend mit Online-Banking und E-Mail.pasqualepillitteri

„Die Abmeldung bei Claude stoppt die gestohlenen Sitzungen, entfernt aber nicht die Malware“, warnte Anthropic. „Wenn sie sich immer noch auf Ihrem Computer befindet, könnte Ihre nächste Login-Sitzung auf dieselbe Weise gestohlen werden.“bleepingcomputer