Cursor-ում Anthropic-ի VS Code ընդլայնումը հետին դուռ է ունեցել և կարող էր ազդել մինչև 5,000 մշակողի վրա

Cursor-ի միջոցով տարածվող Anthropic-ի պաշտոնական VS Code ընդլայնումը գրեթե 12 ժամ հետին դուռ է ունեցել և կարող էր ազդել մինչև 5,000 մշակողի վրա, ուրբաթ հայտնել են մի քանի աղբյուրներ։ Anthropic-ը դեռ չի զգուշացրել հաճախորդներին միջադեպի մասին, մինչդեռ Cursor-ը հեռացրել է վնասակար տարբերակը և քայլեր է ձեռնարկել հետագա տարածումը կանխելու համար։ Մշակողները, որոնք տեղադրել կամ թարմացրել են ընդլայնումը ազդեցության ժամանակահատվածում, պետք է իրենց հնարավոր կոտրված համարեն։

Ինչ է պատահել

Վնասակար փաթեթը Cursor-ի շուկայում առկա VS Code ընդլայնում էր։ Վնասակար 2.1.313 տարբերակը տեղադրվել էր Anthropic-ի պաշտոնական հաշվին Cursor-ում և փոխարինել էր 2.1.312 տարբերակին, ըստ Phorian-ի տեխնիկական տնօրեն և համահիմնադիր Լյուկ Ռոբերթսի։ Anthropic-ը մի քանի ժամ անց թողարկել է 2.1.314 տարբերակը, ըստ անկախ հետազոտող Քևին Բոմոնթի։ Cursor-ում ընդլայնումները լռելյայն ինքնաթարմացվում են, թեև օգտատերերը կարող են դա կարգավորել կարգավորումներում։

Ինչ կարող էր անել հետին դուռը

Cursor-ը հայտնել է, որ վնասակար ընդլայնումը փորձում է տեղադրել մշտական SSH հետին դուռ՝ օգտագործելով հարձակվողի վերահսկողության տակ գտնվող SSH բանալի, միացնել տեղական SSH ծառայությունը և բացել հակադարձ SSH թունել։ Կոդը գրված էր Windows, macOS և Linux համակարգերում աշխատելու համար։ Քանի որ Cursor-ի ընդլայնումները գործում են գործիքի ինտեգրված մշակման միջավայրի թույլտվություններով, վնասակար տարբերակը, հավանաբար, տեղադրումից հետո կստանար մուտք տեղական ֆայլերին, սկզբնակոդին և մշակողական գործիքներին։

Cursor-ը հայտնել է, որ հետին դռան հնարավորությունները ներառում են հոսթի և օգտատիրոջ տվյալների հավաքում, հարձակվողի վերահսկողության տակ գտնվող SSH բանալին authorized_keys-ին ավելացնելու փորձ, տեղական SSH ծառայության միացում, հակադարձ SSH թունելի բացում և հոսթի տվյալների ու հետին դռան կարգավիճակի փոխանցում HTTP POST-ով /beacon-ին 8099 պորտով։ Phorian-ը հայտնել է, որ փոփոխականների անունների գողությունը թույլ էր տվել օպերատորին գույքագրել կոտրված սարքում պահվող ամպային հավատարմագրերն ու API տոկենները, հավանաբար՝ հետագա հարձակումների համար առաջնահերթ մեքենաները ընտրելու նպատակով։ Վնասակար կոդի սխալները Windows-ում և macOS-ում որոշ դեպքերում կանխել են հետին դռան աշխատանքը։

Արձագանք և ազդեցություն

Cursor-ը հայտնել է, որ ընկերության աշխատակիցները համագործակցել են այն ամպային մատակարարի հետ, որը հյուրընկալում էր սերվերը, որին միանում էր հակադարձ շելը, որպեսզի վարակված սարքերը այլևս չկարողանան դրան հասնել։ Աշխատակիցները նաև հեռացրել են վնասակար տարբերակը շուկայից և արգելափակել հետագա տարածումը։ Ընկերությունը նաև փակել է VSCode Marketplace-ը՝ բանալիները փոխելու, մուտքի վերահսկումը ստուգելու և հաստատելու, որ ոչ մի այլ ընդլայնում չի կոտրվել։ Շուկան այժմ բաց է։

Anthropic-ի VS Code ընդլայնումը Cursor-ից հինգշաբթի առավոտյան 5:27-ից մինչև երեկոյան 4:35 ET-ը տեղադրած կամ թարմացրած ցանկացած անձ պետք է իրեն ազդված համարի։ Կարող է իմաստ ունենալ, որ վերջերս դա արած ցանկացած մարդ նույնպես իրեն հնարավոր վարակված համարի։ Cursor-ը և Phorian-ը նշում են վտանգի ցուցիչներ, այդ թվում՝ IP հասցեներ և կրիպտոգրաֆիկ հեշեր։ Դեռ պարզ չէ, թե ինչու Anthropic-ը հրապարակայնորեն չի զգուշացնում հաճախորդներին և ինչու երկու ընկերություններից ոչ մեկը չի բացատրել, թե ինչպես է տեղի ունեցել մատակային շղթայի վնասումը։

Աղբյուրներ: Ars Technica