Как работает атака с инфостилерами
Пользователь Reddit опубликовал уведомление от Anthropic о вредоносном ПО типа infostealer на своем компьютере. В отличие от программ-вымогателей, инфостилеры скрытно собирают ценную информацию: сохраненные пароли, учетные данные и куки сессий в браузерах, передавая их злоумышленникам. По данным Search Engine Journal, в этом случае программа украла сессию входа в Claude - данные, подтверждающие авторизацию в сервисе. Это позволило злоумышленникам получить доступ к аккаунту без взлома пароля и прохождения двухфакторной аутентификации и начать расходовать его лимиты.
Почему стандартные меры защиты не сработали
История демонстрирует уязвимость даже с включенной двухфакторной аутентификацией. Украденные данные сессии позволили преступникам имитировать уже выполненный вход, минуя этап ввода пароля и кода подтверждения. Anthropic в письме отмечает, что заражению подверглись компьютеры, а телефоны и планшеты не были вовлечены. Вредоносное ПО не связано с Claude, не было установлено через него и не является следствием действий в сервисе. Оно обычно попадает на устройство через неофициальные загрузки или вредоносные приложения. В рамках кампании идентифицированы конкретные инфостилеры: Vidar, Lumma (LummaC2), StealC, RedLine, Acreed (на Windows) и Atomic Stealer (AMOS) (на небольшом количестве компьютеров Mac).
Что сделала Anthropic и как пользователь пытался решить проблему
Обнаружив подозрительную активность, Anthropic принудительно завершила скомпрометированные сессии входа и удалила сохраненный в аккаунте платежный метод для предотвращения несанкционированных списаний. Пользователю пришлось заново войти во все устройства и привязать карту. Удаление зараженного пиратского ПО не устранило угрозу - вредоносная программа глубоко внедрилась в систему. Пользователь развернул модель Claude Opus на своем компьютере через CLI. По его словам, модель обнаружила вирус, деактивировала его, идентифицировала и провела реверс-инжиниринг для оценки масштаба угрозы. Он описал процесс как наблюдение за хирургом, препарирующим свою добычу. Claude Opus объяснил механизм работы: инфостилер действовал по таймеру, отправляя пакеты украденных учетных данных на удаленный сервер. Стандартный антивирус Windows Defender, по словам пользователя, угрозу не обнаружил.
Рекомендации по безопасности и остающиеся вопросы
В комментариях к истории прозвучал совет от человека, представившегося экспертом по безопасности. Он рекомендовал полностью очистить компьютер и начать с чистой установки операционной системы, так как подобные инфостилеры часто оставляют скрытые бэкдоры, и гарантировать полное удаление крайне сложно. Инцидент поднимает вопросы о долгосрочной безопасности после заражения и об эффективности даже продвинутых ИИ-инструментов для полной дезинфекции системы. История служит предупреждением: кража сессионных данных - реальная угроза, обходящая привычные защитные механизмы. Профилактикой остается избегание сомнительных источников загрузки программ. Ключевой вывод: сессионные данные - это ключи от аккаунта, и их краха делает бесполезными даже самые сложные пароли и двухфакторную аутентификацию. Безопасность устройства, на котором происходит вход, становится критически важной.
