Sessões do Claude roubadas por infostealers: como detectar a reutilização de cookies?

A Anthropic alertou usuários afetados de que infostealers de propósito geral estão roubando sessões ativas do Claude e reutilizando esse acesso para consumir os limites de assinaturas pagas. As famílias identificadas até o momento incluem Vidar, LummaC2, StealC, RedLine e Acreed no Windows, além do Atomic Stealer no macOS. O Claude não foi apontado como vetor de infecção.

O problema defensivo mais relevante é que a troca de senha e a autenticação multifator não impedem, por si só, a reutilização inicial da sessão. Se o atacante obtiver um cookie autenticado ainda válido, poderá acessar o serviço sem gerar uma nova solicitação de login ou MFA.

Um fluxo prático de investigação pode incluir:

• Isolar o endpoint suspeito antes de gerar novas sessões.
• Procurar acessos aos bancos de cookies dos navegadores e leituras suspeitas da memória dos processos.
• Correlacionar eventos do EDR com telemetria de proxy, DNS e identidade.
• Investigar o uso de sessões sem um evento anterior correspondente de login ou MFA.
• Comparar IP, ASN, agente de usuário e impressão digital do dispositivo com o comportamento habitual do usuário.
• Revogar todas as sessões e tokens de aplicações a partir de um dispositivo confiável.
• Alterar as credenciais somente depois que o endpoint for limpo ou reconstruído.
• Revisar outros serviços SaaS acessados pelo mesmo navegador.

A principal limitação é a visibilidade. Muitas plataformas SaaS não disponibilizam aos clientes telemetria detalhada sobre as sessões, enquanto a infraestrutura e os indicadores usados por infostealers mudam rapidamente. Nesse cenário, a correlação comportamental tende a ser mais eficaz do que uma defesa baseada apenas em IOCs estáticos.

Como sua equipe detecta atualmente a reutilização de cookies de sessão? Vocês correlacionam logs de auditoria dos serviços SaaS com a telemetria dos endpoints ou a investigação ainda depende principalmente de relatos dos usuários e alertas de viagem impossível?

Fonte e análise completa:
https://datarunk.runkintel.com/feed/01a0572d-3116-78ed-8e6d-731133981bc7