إضافة Anthropic VS Code المخترقة بباب خلفي على Cursor قد أثّرت في ما يصل إلى 5,000 مطور

أُصيبت إضافة Anthropic VS Code رسمية مُوزَّعة عبر Cursor بباب خلفي لمدة تقارب 12 ساعة وقد أثّرت في ما يصل إلى 5,000 مطور، بحسب تقارير متعددة يوم الجمعة. لم تحذّر Anthropic العملاء من الحادث حتى الآن، بينما أزالت Cursor الإصدار الخبيث واتخذت خطوات لمنع توزيعه. يجب على المطورين الذين ثبّتوا الإضافة أو حدّثوها خلال النافذة المتأثرة اعتبار أنفسهم قد تعرّضوا لاختراق محتمل.

ماذا حدث

الحزمة المخترقة كانت إضافة VS Code متاحة في سوق Cursor. الإصدار الخبيث، 2.1.313، نُشر في الحساب الرسمي لـ Anthropic على Cursor وحل محل الإصدار 2.1.312، بحسب Luke Roberts، المدير التقني والشريك المؤسس في Phorian. دفعت Anthropic الإصدار 2.1.314 بعد عدة ساعات من إتاحة الإصدار السابق، بحسب الباحث المستقل Kevin Beaumont. تُحدَّث الإضافات تلقائياً في Cursor افتراضياً، مع إمكانية ضبط ذلك في الإعدادات.

ماذا يمكن أن يفعل الباب الخلفي

قالت Cursor إن الإضافة الخبيثة تحاول تثبيت باب خلفي SSH مستمر باستخدام مفتاح SSH يتحكم فيه المهاجم، وتمكين خدمة SSH المحلية، وفتح نفق SSH عكسي. كُتب الشيفرة لتعمل على Windows وmacOS وLinux. ولأن إضافات Cursor تعمل بصلاحيات بيئة التطوير المتكاملة الخاصة بالأداة، فمن المرجح أن يحصل الإصدار المخترق على الوصول إلى الملفات المحلية، وشيفرة المصدر، وأدوات المطورين بعد تثبيته.

قالت Cursor إن قدرات الباب الخلفي تشمل جمع معلومات المضيف والمستخدم، ومحاولة إضافة مفتاح SSH يتحكم فيه المهاجم إلى authorized_keys، وتمكين خدمة SSH المحلية، وفتح نفق SSH عكسي، والإبلاغ عن تفاصيل المضيف وحالة الباب الخلفي عبر HTTP POST إلى /beacon على المنفذ 8099. وقالت Phorian إن سرقة أسماء المتغيرات مكّنت المشغل من جرد بيانات اعتماد السحابة ورموز API المخزّنة على جهاز مخترق، على الأرجح لتحديد أولويات الأجهزة للهجمات اللاحقة. منعت أخطاء في الشيفرة الخبيثة لنظامي Windows وmacOS الباب الخلفي من العمل في بعض الحالات.

الاستجابة والتأثير

قالت Cursor إن موظفي الشركة عملوا مع مزود الخدمة السحابية الذي يستضيف الخادم الذي اتصل به shell عكسي، حتى لا تتمكن الأجهزة المُصابة من الوصول إليه بعد الآن. كما أزال الموظفون الإصدار المخترق من Marketplace وحظر توزيعه. وأغلقت الشركة أيضاً VSCode Marketplace لتدوير المفاتيح، ومراجعة ضوابط الوصول، والتأكد من عدم اختراق أي إضافات أخرى. Marketplace مفتوح الآن.

يجب على أي شخص ثبّت أو حدّث إضافة Anthropic VS Code من Cursor بين 5:27 صباحاً بتوقيت ET و4:35 مساءً يوم الخميس اعتبار نفسه متأثراً. وقد يكون من الحكمة اعتبار من قام بذلك مؤخراً مصاباً محتملاً. تُدرِج كل من Cursor وPhorian مؤشرات اختراق، بما في ذلك عناوين IP والتجزئات التشفيرية. لا يزال غير واضح لماذا لا تحذّر Anthropic العملاء علناً ولماذا لم تشرح أي من الشركتين كيف حدث اختراق سلسلة التوريد.

المصادر: Ars Technica