Зловмисники почали викрадати активні сесії користувачів Claude за допомогою програм-інфостілерів. Для входу в акаунт їм достатньо вкрасти спеціальний cookie з браузера.
Зловмисники почали викрадати активні сесії користувачів Claude за допомогою програм-інфостілерів. Для входу в акаунт їм достатньо вкрасти спеціальний cookie з браузера.
Про це повідомляє VentureBeat.
Після того, як користувач входить у Claude, браузер зберігає cookie сесії. Завдяки ним сервіс «пам’ятає», що людина вже авторизувалася, і не просить вводити пароль щоразу. Інфостілер на зараженому комп’ютері може викрасти цей cookie. Зловмисник підставляє його у своєму браузері, а Claude сприймає це так, ніби перед ним уже авторизований користувач. Тому повторно проходити 2FA не потрібно.
Anthropic назвала кілька шкідливих програм, які використовувалися для таких атак: Vidar, LummaC2, StealC, RedLine та Acreed на Windows, а також Atomic Stealer на Mac. Такі програми також можуть красти збережені паролі та інші дані з браузера.
Компанія помітила проблему через незвичне використання лімітів Claude. Вони поповнювалися та швидко витрачалися, поки власники акаунтів не користувалися сервісом. Тоді Anthropic завершила сесії постраждалих користувачів, видалила збережені платіжні дані та повернула кошти за знайдені несанкціоновані витрати.
Проблема може бути потенційно серйознішою, якщо до особистого акаунта Claude підключені інші сервіси. Claude дозволяє під'єднати Google Workspace, зокрема Gmail і Google Drive. Після цього ШІ може читати інформацію, до якої користувач дав йому доступ. Тож викрадена сесія може відкрити шлях і до даних із підключених сервісів.
Водночас підтверджень, що зловмисники в цій кампанії справді отримували доступ до Gmail, Google Drive, історії розмов або файлів користувачів Claude, наразі немає. Anthropic також не повідомила, скільки саме акаунтів постраждало.
В одному з відомих випадків користувач пов’язав зараження комп’ютера з піратською грою. Але це не єдиний можливий спосіб підхопити інфостілер. Наприклад, раніше шкідливі програми також маскувалися під фальшиві інсталятори Claude.
Раніше dev.ua публікував інтерв’ю з Дімою Ашкіназі, засновником сервісу моніторингу витоків Alerts Bar, про те, чому 80% кібератак починаються з інфостілерів.
