Չարամիտ Claude Code ընդլայնումը SSH հետդուռ է տրամադրել Cursor հարթակում

Մատակարարման շղթայի հարձակումը վնասել է Anthropic ընկերության Claude Code ընդլայնումը, որը տարածվում էր Cursor VS Code ընդլայնումների շուկայով, և SSH հետադարձ հետդռան միջոցով հեռավար մուտքի տրոյական է փոխանցել։ Cursor ընկերության տվյալներով՝ տուժել է մոտ 5000 մշակողի համակարգ, իսկ Anthropic-ը ավելի ուշ 2.1.313 տարբերակը փոխարինել է 2.1.314-ով։

Ինչ է տեղի ունեցել

Ընդլայնումը Cursor-ում ինքնաշխատ թարմացվել է չարամիտ տարբերակի։ Չարամիտ գործունեությունն առաջինը նկատել է Phorion ընկերությունը։ Anthropic-ը հաճախորդներին չի տեղեկացրել, իսկ չարամիտ տարբերակը լուռ ջնջվել է՝ առանց որևէ մեկին հայտնելու։

Չարամիտ վարքագիծ

Cursor-ը ընդունել է խնդիրը և հայտնել, որ ընդլայնումը գործարկում է չարամիտ կոդ, որը փորձում է տեղադրել մշտական SSH հետդուռ։ Կոդը հավաքում է հոսթի և օգտատիրոջ տվյալներ՝ հոսթի անուն, օգտանուն, օպերացիոն համակարգ, ճարտարապետություն, տնային գրացուցակի ուղի, միջավայրի փոփոխականների անուններ, աշխատանքային գրացուցակներ, կարգավորված Git էլփոստ և հանրային IP։ Այնուհետև փորձում է հարձակվողի վերահսկվող SSH բանալի ավելացնել authorized_keys-ում, միացնել տեղային SSH ծառայությունը և բացել հետադարձ SSH թունել։ Բացառությամբ հազվադեպ դեպքերի, երբ Cursor-ը գործարկվել է ադմինիստրատորի իրավունքներով, չարամիտ կոդի սխալների պատճառով այս քայլը ձախողվում է։ Կոդը նաև փորձում է հետադարձ թունելը դարձնել մշտական՝ macOS-ում LaunchAgent-ով կամ Windows-ում SYSTEM-ով գործարկվող պլանավորված առաջադրանքով, որը ձախողվելու դեպքում օգտագործում է Startup սկրիպտ։ Ֆոնային սկրիպտները թունելը կրկին փորձում են մոտավորապես 60 վայրկյանը մեկ։ Հոսթի մանրամասները և հետդռան կարգավիճակը հաղորդվում են HTTP POST-ով 8099 պորտի /beacon հասցեին։

Տարբերակ և հայտնաբերում

Վտանգված տարբերակը 2.1.313 էր։ Anthropic-ը 2026 թվականի հոկտեմբերի 30-ին այն փոխարինել է 2.1.314-ով, որը, ըստ ամենայնի, հեռացնում է հետդուռը ընդլայնումից, սակայն պարզ չէ՝ արդյոք այն դեռ չարամիտ կոդ է պարունակում։ Թարմացումը չի հեռացնում SSH հետդուռը արդեն վարակված համակարգերից, ինչպես նաև նախորդ հետախուզական գործունեությունը։ 2.1.313 տարբերակը բացակայում է OpenVSX-ից, Visual Studio Marketplace-ից և Cursor-ից։ Kevin Beaumont-ը հրապարակել է KQL հարցումներ՝ չարամիտ տարբերակը Microsoft Defender for Endpoint-ով որոնելու համար։

Ցուցիչներ և համատեքստ

Ցանցային ցուցիչների թվում են 22 պորտում 134.209.82.225 հասցեին ուղղված հետադարձ SSH թունելը և http://134.209.82.225:8099/beacon հասցեում HTTP POST օգտագործող հրամանատարության և վերահսկման վերջակետը։ Տեղային բիքոնի փորձը թիրախավորում է 127.0.0.1:8099/beacon հասցեն։ ifconfig.me և api.ipify.org հասցեներով հանրային IP-ի որոնումները օրինական ծառայություններ են, և դրանց միայն օգտագործումը ցուցիչ չէ։ Ֆայլերի հեշերն են՝ VSIX SHA-256 432ccdee3801f99e52b8fe31f69ea9870118e96ea7ef9ecabed1479621b5ab62 darwin arm64 Mac-ի համար և 3de1722901165769893bef57c72594e9a54459faa23f3091b136b79966edd081 win32 x64-ի համար։ Cursor-ի բլոգում նշվում է, որ չարամիտ տարբերակը Anthropic-ի կողմից մշակված չէ, թեև այն վերբեռնվել է Anthropic-ի ստուգված հաշվով։ Նոթբուքերում Claude Code և Cursor գործարկող հաճախորդների թվում են Binance-ը և հազարավոր այլ ընկերություններ։ Իրավիճակը զարգանում է, և թարմացումները հրապարակվում են Mastodon-ում։

Աղբյուրներ: Doublepulsar · Phorion