Hackers divulgam vazamento do código Claude com malware adicional

Hackers estão repostando o código-fonte do Claude Code da Anthropic no GitHub, e alguns trechos trazem malware de coleta de informações (infostealer).
A Anthropic busca remover as cópias, emitindo avisos de direitos autorais; a WSJ informa que a empresa chegou a tentar excluir mais de oito mil repositórios, mas reduziu para 96 cópias e adaptações.
O FBI classificou a invasão de uma de suas ferramentas de interceptação como incidente maior sob a lei FISMA, com suspeita de atuação chinesa; as falhas teriam ocorrido por meio de um provedor de internet comercial.
O caso se soma a um histórico de invasões a infraestrutura de vigilância dos EUA, incluindo ataques anteriores envolvendo hackers estrangeiros e campanhas de botnets como Salt Typhoon, que atingiram várias empresas.
A empresa Drift relatou furto de aproximadamente 280 milhões de dólares em criptomoedas, com a Elliptic atribuindo o golpe a hackers norte-coreanos; a Cisco também sofreu roubo de código-fonte por meio de uma cadeia de suprimentos, explorando a ferramenta Trivy.

Hackeres divulgam vazamento de Claude Code com malware adicional. Pesquisador apontou que a Anthropic tornou público o código-fonte da ferramenta Claude Code. Em seguida, repositórios foram repostados no GitHub. Alguns repositórios contêm malware infostealer disfarçado nas linhas de código. Anthropic atua com notificações de direitos autorais para retirar cópias, com o Wall Street Journal indicando que a empresa inicialmente visou mais de 8 mil repositórios, reduzindo para 96 cópias autorizadas.

A notícia sobre o vazamento não é inédita: há registros de campanhas em que sites de instalação do Claude Code direcionam usuários a comandos que carregam malware. Em março, sites vinculados a anúncios enganosos fincados em buscas do Google teriam apresentado guias falsos de instalação, levando a downloads maliciosos.

FBI classifica invasão a ferramentas de interceptação como risco de segurança nacional

O FBI classificou, de forma oficial, a invasão a um sistema de coleta de dados de vigilância como um incidente importante sob FISMA. A identificação ocorreu após a agência informar ao Congresso que houve atividades suspeitas em fevereiro. A violação teria ocorrido via um provedor de serviços de internet comercial, com táticas consideradas sofisticadas.

Segundo a matéria, os sistemas comprometidos continham dados não classificados, incluindo retornos de processos legais, metadados de telefonia e informações de investigados. O FBI afirmou ter aplicado todas as capacidades técnicas para responder ao ataque, que, se confirmado, representa um possível revés de inteligência.

Avanços e histórico de casos vinculados

A ocorrência amplia um padrão de intrusões em infraestruturas de vigilância e comunicação. Em 2023, hackers estrangeiros acessaram arquivos da investigação sobre mais de uma operação. No ano passado, hackers ligados ao Irã comprometeram o e-mail do diretor do FBI. Campanha associada a redes de botnets também figura como parte do histórico de atividades cibernéticas envolvendo o órgão.

Um relatório do Wall Street Journal destacou ainda que um estudante da Rochester Institute of Technology, Benjamin Brundage, rastreou a botnet Kimwolf e manteve conversas com suspeitos em plataformas de chat, fornecendo pistas técnicas às autoridades. O material explicita como redes residenciais podem ser exploradas para facilitar ataques via proxies domésticos.

Criptoacesso e ataques à cadeia de suprimentos

Em outra frente, a Drift informou ter sofrido desvio de cerca de US$ 280 milhões em um ataque cibernético, atribuído a hackers norte-coreanos com base em padrões de lavagem de criptoativos. Os investigadores estimam que esse grupo já tenha furtado quase US$ 300 milhões neste ano.

Na área de cadeia de suprimentos, a Bleeping Computer reportou que a Cisco foi alvo de uma série de ataques que resultaram no roubo de partes do código-fonte da empresa e de clientes. Os invasores teriam explorado o software de varredura de vulnerabilidades Trivy para obter credenciais, dando acesso aos ambientes de desenvolvimento. A ação se soma a uma sequência de ataques de infostealer envolvendo ferramentas de software de terceiros.