Anthropic предупреждает пользователей об атаках инфостилеров

Представители компании Anthropic предупреждают пользователей о новой схеме злоупотребления аккаунтами Claude. Инфостилеры воруют активные сессии из браузеров жертв, после чего злоумышленники получают доступ к чужим аккаунтам и расходуют доступные пользователям лимиты. В настоящее время в Anthropic рассылают пострадавшим адресные уведомления.

В компании сообщают, что в случае обнаружения компрометации аккаунта специалисты Anthropic принудительно завершают сессии, удаляют сохраненные способы оплаты и возвращают деньги за списания, которые удалось идентифицировать как несанкционированные.

О происходящем стало известно после того, как один из пострадавших опубликовал полученное от компании письмо на Reddit. В этом послании представители Anthropic поясняют, что характерным признаком атаки и компрометации сессии является ситуация, когда лимиты Claude неожиданно восстанавливаются, а затем быстро заканчиваются, хотя владелец учетной записи вообще не использовал ИИ.

Так как инфостилеры способны похищать уже аутентифицированные браузерные сессии вместе с файлами cookie, злоумышленнику не нужно знать логин и пароль или проходить двухфакторную аутентификацию. Вместо этого он может использовать украденную сессию для доступа к аккаунту без повторной аутентификации.

В письме подчеркивается, что расследование вредоносной активности еще продолжается. По предварительным данным, причиной компрометации аккаунтов становятся обычные инфостилеры, которыми компьютеры пользователей были заражены ранее. Отдельно отмечается, что такая малварь никак не связана с Claude, не устанавливалась через Claude и заражения не были вызвано действиями пользователей в Claude.

В Anthropic объясняют, что, как правило, такая малварь проникает в систему вместе с подозрительными загрузками и вредоносными приложениями, после чего похищает локальные данные: сохраненные в браузере пароли, файлы cookie, учетные данные и другую информацию. Сессии Claude в этом случае являются лишь одной из многочисленных целей злоумышленников. Отметим, что пользователь, опубликовавший на Reddit полученное от Anthropic письмо, рассказал, что недавно он действительно скачивал пиратскую игру.

Представители Anthropic отдельно предупреждают, что принудительный выход из Claude лишь аннулирует украденную сессию, однако не удаляет сам инфостилер с машины жертвы. Если вредонос останется в системе, он сможет украсть новую сессию сразу после следующего входа.

Поэтому пострадавшим рекомендуют не ограничиваться сменой пароля от Claude: также необходимо удалить малварь с компьютера, сменить скомпрометированные учетные данные и завершить другие активные сессии, которые тоже могли попасть в руки злоумышленников.