Anthropic warnte einige Claude-Nutzer, dass auf Computern installierte Infostealer-Malware aktive Anmeldesitzungen gestohlen und anschließend verwendet habe, um auf Konten zuzugreifen und Nutzungskontingente zu verbrauchen, ohne dass die Kontoinhaber davon wussten. Das Unternehmen benachrichtigte betroffene Nutzer und erklärte, dass es kompromittierte Konten abmeldet, gespeicherte Zahlungsmethoden entfernt und Gebühren erstattet, die es als nicht autorisiert einstuft.
Anthropic erklärte, dass die Untersuchung noch andauere, brachte die Fälle jedoch mit allgemeiner Infostealer-Malware in Verbindung, die Geräte üblicherweise über Downloads oder schädliche Anwendungen infiziert. Zu der von dem Unternehmen identifizierten Malware gehören Vidar, LummaC2, StealC, RedLine und Acreed unter Windows sowie Atomic Stealer, auch bekannt als AMOS, auf einer begrenzten Zahl von Mac-Geräten.
Wie wurden die gestohlenen Sitzungen verwendet?
Infostealer-Malware kann lokal gespeicherte Daten kopieren, etwa Browserpasswörter, Anmelde-Cookies und Zugangsdaten anderer Anwendungen. Anthropic erklärte, dass eine Claude-Sitzung wahrscheinlich zu den von der Malware gesammelten Daten gehörte, bevor ein Angreifer begann, diese Sitzungen zu extrahieren und zu verwenden.
Da die gestohlene Sitzung bereits authentifiziert ist, muss der Angreifer möglicherweise weder das Passwort eingeben noch die Zwei-Faktor-Authentifizierung erneut durchlaufen. Zu den von dem Unternehmen genannten Anzeichen gehört, dass die Nutzungsgrenzen scheinbar erneuert und anschließend schnell verbraucht wurden, obwohl der Nutzer Claude zu diesem Zeitpunkt nicht verwendete.
Was unternimmt Anthropic für betroffene Nutzer?
Das Unternehmen erklärt, dass das Ungültigmachen kompromittierter Sitzungen die Nutzung gestohlener Sitzungen stoppt. Außerdem entfernt es gespeicherte Zahlungsmethoden, um nicht autorisierte Käufe einzuschränken. Es betonte jedoch, dass eine Abmeldung die Malware nicht vom Gerät entfernt. Wenn die Malware aktiv bleibt, kann die nächste Anmeldesitzung auf dieselbe Weise gestohlen werden.
Anthropic empfiehlt betroffenen Nutzern, ihre Zugangsdaten zu ändern, andere Sitzungen zu beenden und die Malware von ihren Computern zu entfernen, bevor sie sich erneut anmelden. In dem Fall, zu dem der Besitzer eine Nachricht des Unternehmens auf Reddit veröffentlichte, erklärte der Nutzer, er habe ein Raubkopienspiel heruntergeladen, was eine mögliche Erklärung für die Infektion seines Geräts lieferte.
Warum ist diese Nachricht wichtig?
Diese Vorfälle zeigen, dass der Kontoschutz nicht bei Passwort und Zwei-Faktor-Authentifizierung endet, wenn das Gerät selbst mit Malware infiziert ist, die authentifizierte Browsersitzungen stiehlt. Die tatsächliche Veränderung besteht hier nicht in der Entdeckung einer Schwachstelle in Claude, da Anthropic bestätigte, dass die Malware weder mit dem Dienst verbunden war noch über ihn installiert wurde. Stattdessen wurden gestohlene Sitzungsdaten verwendet, um Kontoressourcen zu erschöpfen und möglicherweise gespeicherte Zahlungsmethoden auszunutzen.
Offene Fragen betreffen weiterhin das Ausmaß der Vorfälle, die Zahl der betroffenen Konten und die Methode zur Identifizierung der verwendeten Sitzungen. Die Maßnahmen von Anthropic beheben zwar den Kontozugriff, ersetzen jedoch nicht die Untersuchung des infizierten Geräts und die Entfernung der Malware, bevor eine neue Sitzung erstellt wird.