Anthropic: Αναγκαστική αποσύνδεση χρηστών μετά από υποκλοπή συνεδριών του Claude από malware

Η Anthropic προειδοποίησε το Σάββατο τους χρήστες του Claude ότι κακόβουλο λογισμικό υποκλοπής στοιχείων (infostealer) που εκτελείται στους προσωπικούς τους υπολογιστές υπέκλεπτε ενεργές συνεδρίες σύνδεσης, επιτρέποντας σε επιτιθέμενους να αποκτήσουν πρόσβαση σε λογαριασμούς και να εξαντλήσουν την επί πληρωμή χρήση τους. Η εταιρεία αντέδρασε αποσυνδέοντας αναγκαστικά τους επηρεαζόμενους χρήστες και αφαιρώντας τις αποθηκευμένες μεθόδους πληρωμής από τους λογαριασμούς τους.bleepingcomputer+1

«Υπέπεσε πρόσφατα στην αντίληψή μας ότι ένας κακόβουλος παράγοντας χρησιμοποιεί κοινό λογισμικό υποκλοπής στοιχείων για να κλέψουν συνεδρίες σύνδεσης του Claude από υπολογιστές χρηστών, και στη συνέχεια χρησιμοποιεί αυτές τις συνεδρίες για να αποκτήσει πρόσβαση σε λογαριασμούς Claude και να καταναλώσει τη χρήση τους», ανέφερε η Anthropic σε email προς τους επηρεαζόμενους χρήστες, το οποίο κοινοποιήθηκε αρχικά από έναν παραλήπτη στο Reddit.bleepingcomputer

Πώς λειτουργεί η επίθεση

Η εκστρατεία αυτή εκμεταλλεύεται τα cookies συνεδρίας (session cookies) και όχι τους κωδικούς πρόσβασης. Όταν ένας χρήστης συνδέεται στο Claude, το πρόγραμμα περιήγησης αποθηκεύει ένα cookie συνεδρίας που λειτουργεί ως απόδειξη ταυτοποίησης. Το κακόβουλο λογισμικό υποκλοπής αντιγράφει αυτό το cookie μαζί με άλλα τοπικά αποθηκευμένα διαπιστευτήρια, επιτρέποντας στους επιτιθέμενους να αναπαράγουν τη συνεδρία χωρίς να χρειαστούν ποτέ τον κωδικό πρόσβασης του χρήστη ή τον κωδικό ελέγχου ταυτότητας δύο παραγόντων.pasqualepillitteri

Το αποκαλυπτικό σημάδι ήταν τα όρια χρήσης που φαινόταν να ανανεώνονται και να εξαντλούνται ενώ οι κάτοχοι των λογαριασμών δεν χρησιμοποιούσαν την υπηρεσία. Η Anthropic δήλωσε ότι τα δικά της συστήματα εντόπισαν την ασυνήθιστη δραστηριότητα.bleepingcomputer+1

Η εταιρεία εντόπισε έξι εμπλεκόμενες οικογένειες κακόβουλου λογισμικού: Vidar, Lumma (LummaC2), StealC, RedLine και Acreed σε Windows, καθώς και το Atomic Stealer (AMOS) σε μικρό αριθμό υπολογιστών Mac. Όλα είναι γνωστά, εμπορικά διαθέσιμα προγράμματα υποκλοπής που πωλούνται σε παράνομες αγορές του διαδικτύου: κανένα δεν γράφτηκε ειδικά για να στοχεύσει το Claude.pasqualepillitteri+1

Το κακόβουλο λογισμικό προήλθε από τις συσκευές των ίδιων των χρηστών

Η Anthropic τόνισε ότι το κακόβουλο λογισμικό δεν είχε καμία σχέση με την πλατφόρμα ή τους διακομιστές της. «Δεν έχουμε κανέναν λόγο να πιστεύουμε ότι αυτό το κακόβουλο λογισμικό σχετίζεται με το Claude, εγκαταστάθηκε μέσω του Claude ή σχετίζεται με οτιδήποτε κάνατε στο Claude», έγραψε η εταιρεία. Ο χρήστης του Reddit που μοιράστηκε πρώτος την ειδοποίηση επιβεβαίωσε ότι είχε κατεβάσει ένα πειρατικό παιχνίδι, το οποίο εισήγαγε το λογισμικό υποκλοπής στο σύστημά του.searchenginejournal+1

Τα τηλέφωνα και τα tablet δεν φαίνεται να έχουν επηρεαστεί. Οι μολύνσεις στοχοποίησαν επιτραπέζιους υπολογιστές που εκτελούν Windows ή macOS.secnews+1

Τι πρέπει να κάνουν οι επηρεαζόμενοι χρήστες

Η Anthropic προειδοποίησε ότι η αναγκαστική αποσύνδεση εξουδετερώνει τις ήδη κλεμμένες συνεδρίες, αλλά δεν αφαιρεί το υποκείμενο κακόβουλο λογισμικό. Εάν το λογισμικό υποκλοπής παραμείνει στον υπολογιστή, η επόμενη συνεδρία σύνδεσης μπορεί να υποκλαπεί εξίσου εύκολα.pasqualepillitteri+1

Η εταιρεία προέτρεψε τους χρήστες να εκτελέσουν πρώτα μια σάρωση με πρόγραμμα προστασίας από ιούς (antivirus) και να καθαρίσουν τη συσκευή, στη συνέχεια να αλλάξουν τον κωδικό πρόσβασης στον λογαριασμό email που είναι συνδεδεμένος με το Claude, και μόνο μετά από αυτό να συνδεθούν ξανά και να προσθέσουν εκ νέου μια μέθοδο πληρωμής. Επειδή τα προγράμματα υποκλοπής σαρώνουν όλα τα τοπικά αποθηκευμένα διαπιστευτήρια και όχι μόνο αυτά του Claude, η Anthropic συνέστησε την αλλαγή κωδικών πρόσβασης και σε άλλες υπηρεσίες, ξεκινώντας από τις τράπεζες και το ηλεκτρονικό ταχυδρομείο.pasqualepillitteri

«Η αποσύνδεσή σας από το Claude σταματά τις κλεμμένες συνεδρίες, αλλά δεν αφαιρεί το κακόβουλο λογισμικό», προειδοποίησε η Anthropic. «Εάν εξακολουθεί να βρίσκεται στον υπολογιστή σας, η επόμενη συνεδρία σύνδεσής σας θα μπορούσε να κλαπεί με τον ίδιο τρόπο».bleepingcomputer