Cursor uzantı mağazası zehirlendi: Claude Code'a SSH arka kapısı yerleştirildi, en fazla 5000 kişi etkilendi

动察 Beating AI hızlı haber: Cursor, 29 Ekim'de uzantı mağazasında kötü niyetli olarak tahrif edilmiş Claude Code 2.1.313 sürümünün ortaya çıktığını açıkladı. Bu kurulum paketi Anthropic tarafından üretilmemiş olup mağazada yaklaşık 11 saat boyunca listelendi. Cursor, en fazla 5000 kullanıcının etkilenmiş olabileceğini tahmin ediyor ve onlarla doğrudan iletişime geçecek.

Güvenlik araştırma kuruluşu OpenSourceMalware'in analizine göre, saldırganlar eklentinin normal kodunun önüne 66 satırlık kötü amaçlı program yerleştirdi. Editör bu uzantıyı yüklediği anda kod çalışıyor; kullanıcının Claude ile sohbet etmesine bile gerek kalmıyor.

Kötü amaçlı program bilgisayar adı, Git e-posta adresi, genel IP gibi bilgileri topluyor ve SSH yetkilendirme listesine gizlice saldırganın anahtarını ekliyor. Ardından uzaktan oturum açmayı başlatmaya çalışıyor, ters SSH tüneli aracılığıyla saldırganın sunucusuna bağlanıyor ve açılışta otomatik çalışan bir arka plan görevi kurarak yaklaşık her 60 saniyede bir yeniden bağlanmayı deniyor.

Ancak saldırı kodunun kendisinde hatalar var. Cursor, çoğu Mac ve Windows bilgisayarın SSH hizmetini başlatmak için gereken yönetici izinlerini vermediğini, bu nedenle saldırganların genellikle tünel üzerinden oturum açamadığını belirtiyor. Yine de kötü amaçlı anahtar ekleme, arka plan betiği yükleme ve cihaz bilgisi gönderme başarılı olabilir. SSH hizmeti zaten açık olan bilgisayarlar da bu nedenle güvende sayılmamalı.

Cursor kötü amaçlı sürümü kaldırdı, uzantı mağazasını bir süre tamamen kapattı ve saldırganın sunucusunun kapatılmasına yardımcı oldu. Etkilenen kullanıcıların SSH yetkilendirme dosyasında `svc-telemetry` olup olmadığını kontrol etmeleri ve resmi düzeltme betiğiyle temizlemeleri gerekiyor. Yalnızca uzantıyı kaldırmak yeterli değil; arka plan arka kapısı çalışmaya devam edebilir.