Anthropic alerte d’un piratage pour des utilisateurs de Claude

Anthropic a tiré la sonnette d’alarme auprès d’utilisateurs de Claude. Dans un e-mail, la start-up d’IA a prévenu qu’un acteur malveillant a recours à des malwares de type infostealer pour voler les sessions de connexion à Claude depuis leurs ordinateurs.

Les attaquants peuvent alors accéder aux comptes et épuiser les limites d’utilisation, sans que la victime ne s’en aperçoive immédiatement.

Des malwares sans lien spécifique avec Claude

L’enquête d’Anthropic a identifié plusieurs familles de malwares connues. Sur les systèmes Windows, des noms comme Vidar, LummaC2, StealC, RedLine et Acreed ont été repérés, tandis que Atomic Stealer (AMOS) a été détecté sur un petit nombre de Mac.

Anthropic précise n’avoir  » aucune raison de croire que ce malware soit lié à Claude, installé via Claude, ou lié à quoi que ce soit que vous ayez fait avec Claude « .

Ces infostealers dérobent les cookies de session déjà authentifiés dans le navigateur de la victime. Cela signifie que les attaquants n’ont pas besoin de voler le mot de passe ni de contourner l’authentification à deux facteurs. Une session valide leur permet d’accéder directement au compte.

Un utilisateur sur Reddit a notamment confirmé que son système avait été compromis après avoir téléchargé un jeu piraté.

Source image : Reddit

Existe-t-il d’autres méthodes d’attaque ?

Au-delà du vol de session, une autre chaîne d’attaque nommée FakeAgent est suivie par la société de sécurité Huntress. Elle a instrumentalisé l’infrastructure de Claude.

Des cybercriminels ont diffusé des publicités sponsorisées sur Bing pour une prétendue application de bureau Claude, menant vers un artefact malveillant hébergé sur le domaine légitime claude.ai.

L’installateur piégé, ClaudeDesktop.exe, a été téléchargé plusieurs milliers de fois pour compromettre une trentaine d’organisations. Il installait le cheval de Troie d’accès à distance SectopRAT, conçu pour voler des identifiants et des données de cartes de paiement.

Une autre technique a été observée avec l’empoisonnement de fichiers de configuration SKILL.md qui peuvent réinstaller un malware.

Quelles sont les mesures prises par Anthropic

Anthropic a pris des mesures immédiates pour protéger les comptes touchés. L’entreprise déconnecte les sessions compromises, supprime les méthodes de paiement enregistrées pour bloquer les achats non autorisés et rembourse les frais identifiés comme frauduleux.

 » Vous déconnecter de Claude arrête les sessions volées, mais cela ne supprime pas le malware « , souligne Anthropic. Gage aux utilisateurs concernés de faire le ménage et de prendre des dispositions avec leurs identifiants.