Cursor marketida Claude Code kengaytmasi orqali SSH bekdorlari tarqatildi

29 oktyabr kuni Anthropic kompaniyasining Claude Code VS Code kengaytmasining xavfli versiyasi Cursor kod muharririning marketpleysida paydo bo'ldi. 2.1.313 raqamli soxta paket taxminan 11 soat davomida ochiq holda tarqatilib, 5000 nafargacha dasturchi qurilmalarini xavf ostiga qo'ydi.

• Vrachlik versiya 29 oktyabr kuni 11 soat davomida tarqatilib, 5000 nafargacha dasturchiga ta'sir qildi.
• Tajovuzkorlar extension.js fayliga zararli JavaScript kodini kiritib, SSH bekdorlarini o'rnatishga harakat qilishdi.
• Dasturlashdagi xatolar tufayli Windows va macOS tizimlarida zararli kod to'liq ishga tushib, masofaviy kirishni ta'minlay olmadi.
• Cursor kompaniyasi marketpleysni vaqtincha yopib, audit o'tkazdi va hujumchilar serverini blokladi.

Hujum tafsilotlari va zararli dasturning ishlashi

Phorion va OpenSourceMalware tadqiqotchilarining aniqlashicha, xakerlar Anthropic kengaytmasining extension.js fayli boshiga zararli JavaScript yuklovchisini qo'shib qo'yishgan. Ushbu o'zgarish foydalanuvchining qo'shimcha harakatlarisiz, kengaytma yuklanishi bilanoq zararli kodning avtomatik ishga tushishini ta'minlagan. Shu bilan birga, kengaytmaning asosiy funksionalligi saqlanib qolgan.

O'rnatish jarayonida zararli dastur tizim va foydalanuvchi ma'lumotlarini, jumladan Git emaili va ommaviy IP-manzilni yig'gan. Shuningdek, tizimga xaker nazoratidagi SSH kaliti qo'shilib, macOS LaunchAgent yoki Windows rejalashtiruvchisi yordamida harakatlar saqlanib qolishi ta'minlangan. Barcha ma'lumotlar hujumchining 134.209.82[.]225 IP-manzilidagi serveriga yuborilgan.

Kod xatolari ommaviy buzishlarning oldini oldi

Zararli dastur mavjudligiga qaramay, skriptdagi texnik xatolar hujumchilarga ko'plab Windows va macOS tizimlariga masofaviy kirish huquqini berishiga to'sqinlik qilgan. macOS'da dastur Remote Login yoqilganligini systemsetup yordamida tekshirishga urinib, uni administrator huquqlarisiz bajargan va xatolikka duch kelgan. Windows'da esa OpenSSH serverini ishga tushirish standart tizimlarda mavjud bo'lmagan /bin/sh Unix qobig'i orqali amalga oshirilgan.

Shunga qaramay, skript SSH kalitlarini o'rnatish va razvedka ma'lumotlarini serverga jo'natishni muvaffaqiyatli bajargan. Biroq, SSH serveri o'zi ishlamayotgan bo'lsa, tunel qurilmani boshqarish imkonini bermagan. Shuningdek, to'g'ridan-to'g'ri maxfiy ma'lumotlar o'g'irlanmagani, hujumchilar ularni SSH tuneli orqali qo'lda olishni rejalashtirganini ko'rsatadi.

Xavfsizlik choralari va Cursor reaksiyasi

Cursor jamoasi darhol xavfli kengaytmani o'chirib tashladi va boshqa kengaytmalarni tekshirish hamda kirish kalitlarini yangilash uchun butun marketpleysni vaqtincha yopdi. Shuningdek, xosting provayderi yordamida hujumchilarning serveri oflayn rejimga o'tkazilib, barcha ulanishlar to'xtatildi. Ichki tekshiruvlar boshqa versiyalar yoki rasmiy manbalar zararlanmaganini ko'rsatdi.

Xavf ostida qolgan dasturchilarga qurilmalarida 'svc-telemetry' nomli SSH kaliti mavjudligini tekshirish tavsiya etiladi. Agar zararlanish tasdiqlansa, tizimni izolyatsiya qilish, maxfiy kalitlarni yangilash va muhitni xavfsiz zaxira nusxalaridan qayta tiklash talab etiladi. Ushbu ta'minot zanjiri hujumi qanday sodir bo'lgani hozircha to'liq o'rganilmoqda.