Cursor-dakı Anthropic VS Code əlavəsinə arxa qapı qoyulub, 5.000-ə qədər tərtibatçı təsirlənmiş ola bilər

Cursor vasitəsilə yayılan rəsmi Anthropic VS Code əlavəsinə demək olar ki, 12 saat arxa qapı qoyulub və 5.000-ə qədər tərtibatçı təsirlənmiş ola bilər; cümə günü bir neçə mənbə xəbər verib. Anthropic hələ müştəriləri hadisə barədə xəbərdar etməyib, Cursor isə zərərli versiyanı silib və sonrakı yayılmanın qarşısını almaq üçün tədbirlər görüb. Təsir dövründə əlavəni quraşdıran və ya yeniləyən tərtibatçılar özlərini potensial olaraq pozulmuş hesab etməlidirlər.

Nə baş verib

Pozulmuş paket Cursor bazarında mövcud olan VS Code əlavəsi idi. Phorian-ın baş texniki direktoru və həmtəsisçisi Luke Roberts-ə görə, zərərli 2.1.313 versiyası Cursor-dakı Anthropic rəsmi hesabına yerləşdirilib və 2.1.312 versiyasını əvəz edib. Müstəqil tədqiqatçı Kevin Beaumont-a görə, Anthropic əvvəlki versiya mövcud olduqdan bir neçə saat sonra 2.1.314 versiyasını buraxıb. Əlavələr Cursor-da standart olaraq avtomatik yenilənir, lakin istifadəçilər bunu ayarlarda dəyişə bilərlər.

Arxa qapı nə edə bilərdi

Cursor bildirib ki, zərərli əlavə hücumçu tərəfindən idarə olunan əlavə SSH açarı ilə davamlı SSH arxa qapısı quraşdırmağa, yerli SSH xidmətini aktivləşdirməyə və tərs SSH tuneli açmağa cəhd edir. Kod Windows, macOS və Linux üçün yazılmışdır. Cursor əlavələri alətin İnteqrasiya Olunmuş İnkişaf Mühitinin icazələri ilə işlədiyindən, arxa qapılı versiya quraşdırıldıqdan sonra yerli fayllara, mənbə koduna və tərtibatçı alətlərinə çıxış əldə edə bilərdi.

Cursor bildirib ki, arxa qapının imkanlarına host və istifadəçi məlumatlarının toplanması, hücumçu tərəfindən idarə olunan SSH açarının authorized_keys faylına əlavə edilməsinə cəhd, yerli SSH xidmətinin aktivləşdirilməsi, tərs SSH tunelinin açılması və host məlumatlarının, eləcə də arxa qapı statusunun 8099 portunda /beacon ünvanına HTTP POST vasitəsilə göndərilməsi daxildir. Phorian bildirib ki, dəyişən adlarının oğurlanması operatora pozulmuş cihazda saxlanılan bulud etimadnamələrinin və API tokenlərinin siyahısını çıxarmağa imkan verib; bu, ehtimal ki, sonrakı hücumlara üstünlük veriləcək maşınları müəyyən etmək üçündür. Windows və macOS üçün zərərli kodda olan səhvlər bəzi hallarda arxa qapının işləməsinin qarşısını alıb.

Cavab tədbirləri və təsir

Cursor bildirib ki, şirkət əməkdaşları tərs shell-in qoşulduğu serveri yerləşdirən bulud provayderi ilə işləyib ki, yoluxmuş cihazlar artıq ona çata bilməsin. Əməkdaşlar həmçinin zərərli versiyanı bazardan silib və onun sonrakı yayılmasını bloklayıblar. Şirkət həmçinin açarları yeniləmək, giriş nəzarətini audit etmək və başqa əlavələrin pozulmadığını təsdiqləmək üçün VSCode Marketplace-i bağlayıb. Bazar hazırda açıqdır.

Cümə axşamı ET ilə səhər saat 5:27-dən günortadan sonra 4:35-ə qədər Cursor-dan Anthropic-in VS Code əlavəsini quraşdıran və ya yeniləyən hər kəs özünü təsirlənmiş hesab etməlidir. Son vaxtlar bunu edən hər kəsin özünü potensial olaraq yoluxmuş hesab etməsi də məqsədəuyğun ola bilər. Həm Cursor, həm də Phorian IP ünvanları və kriptoqrafik heşlər daxil olmaqla, pozulma göstəricilərini siyahılayırlar. Anthropic-in müştəriləri niyə ictimaiyyətə xəbərdar etmədiyi və hər iki şirkətin təchizat zəncirinin pozulmasının necə baş verdiyini niyə izah etmədiyi hələ aydın deyil.

Mənbələr: Ars Technica