Claude hesaplarına saldırı büyüyor: ikinci zincir ve yeniden bulaşma taktiği ortaya çıktı

İki gün önce aktardığımız çalıntı Claude oturumları vakası, sanılandan büyük bir kampanyanın parçası çıktı. Cyber Security News'un derlemesine göre artık doğrulanmış iki ayrı saldırı zinciri var ve ikisinin de hedefi Claude hesapları.

Birinci zincir bildiğimiz hikayenin devamı: Windows'ta Vidar, Lumma (LummaC2), StealC, RedLine ve Acreed, macOS'ta Atomic Stealer, parola yerine doğrudan oturum çerezlerini çalıyor; böylece iki aşamalı doğrulama da devre dışı kalıyor. Saldırganlar çalıntı oturumu "tekrar oynatıp" kurbanın ücretli kullanım hakkını eritiyor; Anthropic olayı, sahipleri çevrimdışıyken kullanım limitlerinin dolup boşaldığını fark edince yakalamıştı. Rapordaki yeni ve rahatsız edici ayrıntı şu: zehirlenmiş SKILL.md yapılandırma dosyalarına gizlenen komutlar, temizlenen cihaza zararlıyı sessizce yeniden indirebiliyor; kirli dosya geri yüklenirse bu, işletim sistemi sıfırlamasından bile sağ çıkabiliyor.

İkinci zincir daha eski bir olayı kampanyaya bağlıyor: 21-22 Temmuz'da Bing reklamlarıyla dağıtılan sahte Claude Desktop kurulumları, DLL yan yükleme yöntemiyle SectopRAT uzaktan erişim trojanını kuruyordu. Rapora göre kaldırılana dek yaklaşık 7.100 indirme gerçekleşti ve iki günde en az 29 kurum etkilendi.

Anthropic cephesinde tablo önceki haberimizdeki gibi: ele geçirilen hesaplar kapatılıyor, kayıtlı ödeme yöntemleri siliniyor, haksız kullanımlar iade ediliyor. Şirketin uyarısı da yerinde duruyor: hesap tarafındaki bu önlemler, cihazdaki zararlıyı TEMİZLEMEZ. Bilgisayarında bu belirtiler varsa oturumları kapatmak yetmiyor; güvenilir bir tarama ve şüpheli SKILL.md dosyalarının elle denetimi şart.