Cursor tirgū 11 stundas bija pieejams viltots Claude Code paplašinājums ar SSH sētas durvīm

MI programmēšanas rīka Cursor izstrādātāji paziņojuši, ka viņu VS Code paplašinājumu tirgū 29. oktobrī bija pieejama ļaunprātīgi pārveidota Anthropic Claude Code paplašinājuma versija 2.1.313. Saskaņā ar Cursor un drošības uzņēmuma Sophos sniegto informāciju, tā bija lejupielādējama aptuveni no plkst. 11.27 līdz 22.35 pēc Rīgas laika, un to varētu būt instalējuši līdz 5000 lietotāju. Cursor uzsver, ka šo versiju nav izstrādājis Anthropic.

Pēc Cursor un drošības pētnieku sniegtās informācijas, kaitīgais kods savāc ziņas par datoru un tā lietotāju un nosūta tās uzbrucēja serverim. Vienlaikus tas mēģina iegūt pastāvīgu attālinātu piekļuvi datoram.

Šim nolūkam paplašinājums lietotāja SSH atļauto atslēgu failam pievieno uzbrucēja publisko atslēgu ar apzīmējumu „svc-telemetry”, mēģina ieslēgt datorā SSH pakalpojumu un atvērt apgriezto SSH tuneli uz uzbrucēja serveri. Lai savienojums saglabātos, macOS datoros tiek izveidots LaunchAgent, bet Windows datoros ieplānots uzdevums, kas savienojumu mēģina atjaunot aptuveni reizi minūtē.

Cursor un pētnieki norāda, ka kļūdu dēļ ļaunprātīgajā kodā SSH pakalpojuma ieslēgšana lielākajā daļā macOS un Windows datoru neizdodas, jo tai vajadzīgas administratora tiesības. Tādos gadījumos uzbrucējs caur tuneli datorā nevarēja pieslēgties. Tomēr uzbrucēja atslēga, automātiskās palaišanas skripti un datora informācijas nosūtīšana paliek, tāpēc arī šiem lietotājiem ieteikts datoru pārbaudīt un iztīrīt.

Cursor ziņo, ka kaitīgo versiju izņēma no tirgus uzreiz pēc atklāšanas, piesardzības nolūkā uz laiku slēdza visu paplašinājumu tirgu, nomainīja savas atslēgas un tirgu pārbūvēja. Sadarbībā ar mitināšanas pakalpojuma sniedzēju uzbrucēja serveris ir atslēgts, un uzņēmums pārbaudē nav atradis pazīmes, ka būtu mainīti citi paplašinājumi.

Drošības speciālisti brīdina, ka ar paplašinājuma atinstalēšanu vien nepietiek, jo kaitīgā programma datorā atstāj atsevišķus skriptus, kas turpina darboties. Lietotājiem, kuri minētajā laikā instalēja vai atjaunināja paplašinājumu uz versiju 2.1.313, ieteikts SSH atļauto atslēgu failā meklēt ierakstu „svc-telemetry”, noņemt uzbrucēja atslēgu un automātiskās palaišanas mehānismus, apturēt tuneļa procesus un no uzticama datora nomainīt paroles, piekļuves atslēgas un sesijas, kas bija pieejamas skartajā datorā. Cursor publiskojis pārbaudes un tīrīšanas norādījumus macOS un Windows lietotājiem.