Zərərli Claude Code uzantısı Cursor-da SSH arxa qapı gətirdi

Təchizat zənciri hücumu Cursor VS Code uzantı bazarından paylanan Anthropic-in Claude Code uzantısını kompromisləşdirdi və SSH tərs arxa qapı vasitəsilə uzaqdan giriş trojanı çatdırdı. Cursor bildirir ki, təxminən 5 000 tərtibatçı sistemi təsirlənib və Anthropic daha sonra 2.1.313 versiyasını 2.1.314 versiyası ilə əvəz etdi.

Nə baş verdi

Uzantı Cursor-da avtomatik olaraq zərərli versiyaya yeniləndi. Zərərli fəaliyyəti ilk dəfə Phorion son nöqtələrdə aşkar etdi. Anthropic müştərilərə məlumat verməyib və zərərli versiya heç kimə xəbər vermədən səssizcə silindi.

Zərərli davranış

Cursor problemi etiraf etdi və uzantının davamlı SSH arxa qapısı quraşdırmağa cəhd edən zərərli kod işlətdiyini bildirdi. O, host və istifadəçi məlumatlarını, o cümlədən host adı, istifadəçi adı, OS, arxitektura, ev qovluğu yolu, mühit dəyişəni adları, iş qovluqları, konfiqurasiya edilmiş Git e-poçtu və ictimai IP-ni toplayır. O, hücumçunun nəzarətindəki SSH açarını authorized_keys-ə əlavə etməyə, lokal SSH xidmətini aktivləşdirməyə və tərs SSH tunel açmağa cəhd edir. Cursor-un administrator hüquqları ilə işə salındığı olduqca qeyri-adi hallar istisna olmaqla, zərərli kodda xətalar bu addımın uğursuz olmasına səbəb olur. O həmçinin tərs SSH tunelini macOS-da LaunchAgent və ya Windows-da SYSTEM kimi işləməyə cəhd edən planlaşdırılmış tapşırıq ilə, Startup skripti ehtiyat variantı ilə davamlı etməyə cəhd edir, arxa fon skriptləri tuneli təxminən hər 60 saniyədən bir yenidən cəhd edir. Host məlumatları və arxa qapı statusu port 8099 üzərindən /beacon ünvanına HTTP POST ilə bildirilir.

Versiya və aşkarlama

Kompromisləşdirilmiş versiya 2.1.313 idi. Anthropic onu 30 oktyabr 2026-cı ildə 2.1.314 ilə əvəz etdi; bu versiya uzantıdan arxa qapını çıxarır kimi görünür, lakin hələ də zərərli kod ehtiva edib-etmədiyi aydın deyil. Yeniləmə nə artıq yoluxmuş sistemlərdən SSH arxa qapısını, nə də əvvəlki kəşfiyyat fəaliyyətini silmir. Versiya 2.1.313 OpenVSX, Visual Studio Marketplace və Cursor-da mövcud deyil. Kevin Beaumont Microsoft Defender for Endpoint ilə zərərli versiyanı axtarmaq üçün KQL sorğuları dərc etdi.

İndikatorlar və kontekst

Şəbəkə indikatorlarına port 22 üzərindən 134.209.82.225 ünvanına tərs SSH tunel və http://134.209.82.225:8099/beacon ünvanında HTTP POST istifadə edən əmr və nəzarət serveri daxildir. Lokal beacon cəhdi 127.0.0.1:8099/beacon ünvanını hədəf alır. ifconfig.me və api.ipify.org ünvanlarına ictimai IP sorğuları legitim xidmətlərdir və yalnız bu xidmətlərə müraciət etmək göstərici deyil. Fayl hash-larına darwin arm64 Mac üçün VSIX SHA 256 432ccdee3801f99e52b8fe31f69ea9870118e96ea7ef9ecabed1479621b5ab62 və win32 x64 üçün 3de1722901165769893bef57c72594e9a54459faa23f3091b136b79966edd081 daxildir. Cursor-un blogunda zərərli versiyanın Anthropic tərəfindən hazırlanmadığı ifadəsi var, hərçənd o, Anthropic-in təsdiqlənmiş hesabında yüklənib. Claude Code və Cursor-u laptoplarda işlədən məşhur müştərilər arasında Binance də daxil olmaqla minlərlə başqası var. Vəziyyət inkişaf edir və yeniləmələr Mastodon-da yerləşdirilir.

Mənbələr: Doublepulsar · Phorion