Anthropic force des déconnexions après le piratage de sessions Claude par un malware

Anthropic a averti samedi les utilisateurs de Claude qu'un logiciel malveillant de type « infostealer » (voleur d'informations) s'exécutant sur leurs ordinateurs personnels avait dérobé des sessions de connexion actives, permettant à des attaquants d'accéder à leurs comptes et d'épuiser leur forfait payant. L'entreprise a réagi en déconnectant de force les utilisateurs concernés et en supprimant les moyens de paiement enregistrés sur leurs comptes.bleepingcomputer+1

« Nous avons récemment été informés qu'un acteur malveillant utilise un infostealer courant pour dérober des sessions de connexion Claude depuis les ordinateurs des utilisateurs, puis utilise ces sessions pour accéder aux comptes Claude et consommer leur crédit », a déclaré Anthropic dans un e-mail envoyé aux utilisateurs concernés, partagé dans un premier temps par un destinataire sur Reddit.bleepingcomputer

Fonctionnement de l'attaque

Cette campagne exploite les cookies de session plutôt que les mots de passe. Lorsqu'un utilisateur se connecte à Claude, le navigateur stocke un cookie de session qui sert de preuve d'authentification. Le malware copie ce cookie ainsi que d'autres identifiants stockés localement, ce qui permet aux attaquants de rejouer la session sans jamais avoir besoin du mot de passe de l'utilisateur ni de son code d'authentification à deux facteurs.pasqualepillitteri

Le signe révélateur était la fluctuation des limites d'utilisation, qui semblaient se recharger puis se vider alors même que les titulaires de compte n'utilisaient pas le service. Anthropic a indiqué que ses propres systèmes avaient détecté cette activité inhabituelle.bleepingcomputer+1

L'entreprise a identifié six familles de malwares impliquées : Vidar, Lumma (LummaC2), StealC, RedLine et Acreed sur Windows, ainsi qu'Atomic Stealer (AMOS) sur un petit nombre de Mac. Tous sont des voleurs de données bien connus, distribués commercialement et vendus sur des marchés criminels : aucun n'a été conçu spécifiquement pour cibler Claude.pasqualepillitteri+1

Un malware provenant des propres machines des utilisateurs

Anthropic a souligné que le malware n'avait aucun lien avec sa plateforme ou ses serveurs. « Nous n'avons aucune raison de penser que ce logiciel malveillant est lié à Claude, qu'il a été installé via Claude ou qu'il est lié à ce que vous avez fait sur Claude », a écrit l'entreprise. L'utilisateur de Reddit qui a partagé la notification en premier a confirmé avoir téléchargé un jeu piraté, ce qui a introduit l'infostealer sur son système.searchenginejournal+1

Les téléphones et les tablettes ne semblent pas avoir été touchés. Les infections ont ciblé les ordinateurs de bureau fonctionnant sous Windows ou macOS.secnews+1

Ce que doivent faire les utilisateurs concernés

Anthropic a averti que la déconnexion forcée neutralise les sessions déjà volées mais ne supprime pas le malware sous-jacent. Si l'infostealer reste sur la machine, la prochaine session de connexion pourra être interceptée tout aussi facilement.pasqualepillitteri+1

L'entreprise a vivement conseillé aux utilisateurs de lancer d'abord une analyse antivirus et de nettoyer leur appareil, puis de modifier le mot de passe de l'adresse e-mail associée à Claude, et seulement après cela de se reconnecter et de rajouter un moyen de paiement. Étant donné que les infostealers dérobent tous les identifiants stockés localement, et pas seulement ceux de Claude, Anthropic a également recommandé de changer les mots de passe des autres services, en commençant par les comptes bancaires et les e-mails.pasqualepillitteri

« Vous déconnecter de Claude met fin aux sessions volées, mais cela ne supprime pas le malware », a prévenu Anthropic. « S'il est toujours sur votre ordinateur, votre prochaine session de connexion pourrait être volée de la même manière. »bleepingcomputer