Anthropic проинформировала пользователей Claude о возникновении атак, в ходе которых инфостилеры при помощи кражи активных сессий браузера передают данные злоумышленникам. В результате получения cookie и идентификатора уже авторизованной сессии, для повторного доступа к аккаунту не требуется ввод пароля или прохождение процедуры двухфакторной аутентификации. Один из пострадавших получил уведомление от компании письмо.
Одним из индикаторов возможного взлома является неожиданное восстановление и последующее быстрое исчерпание лимитов Claude без участия владельца аккаунта. Злоумышленники используют полученные таким образом сессии для доступа к чужим учетным записям и использования оплаченных пользователем ресурсов.
По имеющимся сведениям от Anthropic, атаки связаны с широко распространенными инфостилерами Vidar, LummaC2, StealC, RedLine и Acreed под управлением Windows. В отдельных случаях на macOS применялся Atomic Stealer, также известный как AMOS. Злоумышленники похищают не только сессии Claude, но и сохраненные браузером пароли, cookie и учетные данные для других сервисов.
В одном из зафиксированных случаев заражение произошло вследствие скачивания пиратской игры. Пользователь сообщил о том, что вредоносное программное обеспечение получило доступ к содержимому профиля Chrome, что позволило злоумышленнику обойти защиту аккаунтов с двухфакторной аутентификацией.
Anthropic предпринимает меры для защиты пользователей, принудительно прекращая скомпрометированные сессии Claude, удаляя сохраненные платежные реквизиты и возвращая средства за транзакции, которые были признаны несанкционированными. Тем не менее, обычный выход из учетной записи не гарантирует решение проблемы: если на устройстве остается вредоносное программное обеспечение, последующие сессии после повторной авторизации также могут быть подвергнуты взлому.
Произошедшее демонстрирует недостаток двухфакторной аутентификации в ситуации кражи уже установленной сессии. В данном случае злоумышленник не нарушает процедуру входа, а получает готовый токен доступа. Поэтому после выявления факта компрометации первостепенно необходимо удалить вредоносное ПО с устройства, завершить все активные сессии и лишь затем обновить учетные данные, которые могли быть перехвачены.
