Cursor’daki kötü amaçlı Claude Code eklentisi SSH arka kapıları yerleştirdi

Anthropic’in Claude Code eklentisinin kötü amaçlı bir sürümü, 29 Ekim’de yaklaşık 11 saat boyunca Cursor’ın VS Code eklenti pazarında sunuldu. Bu durum, kalıcı SSH arka kapıları kurmaya çalışan kötü amaçlı yazılıma 5.000’e kadar geliştiriciyi maruz bıraktı.

2.1.313 sürüm numaralı paket, Pasifik Saati’yle sabah 2:27’den öğleden sonra 1:35’e kadar dağıtıldı. Cursor, eklentiyi Anthropic’in geliştirmediğini söyledi ancak paketin Anthropic adıyla nasıl yayımlandığını açıklamadı. Phorion ve OpenSourceMalware araştırmacıları, eklentinin extension.js dosyasının başında kötü amaçlı bir JavaScript yükleyicisi buldu; meşru eklentinin geri kalan kodu değiştirilmemişti. Kötü amaçlı yazılım, kullanıcı etkileşimi gerektirmeden eklenti yüklenince çalışıyordu.

Phorion’a göre kodlama hataları, SSH’nin önceden çalışmadığı birçok Windows ve macOS sisteminde kurulumun başarılı olmasını muhtemelen engelledi. Kötü amaçlı yazılım yine de SSH anahtarları yükleyebiliyor, kalıcılık sağlayabiliyor ve ters tünel kurmayı deneyebiliyordu. Ayrıca kullanıcı adları, ana bilgisayar adları, genel IP adresleri, Git e-posta adresleri ve hassas kimlik bilgileriyle ilişkili ortam değişkenlerinin adları dahil keşif verilerini saldırganın kontrolündeki bir sunucuya gönderiyordu. Betik kimlik bilgilerini doğrudan çalmadı.

Cursor eklentiyi kaldırdı; diğer eklentileri denetlemek ve erişim anahtarlarını yenilemek için pazarını geçici olarak kapattı ve barındırma sağlayıcısıyla saldırganın sunucusunu çevrimdışı bıraktı. Cursor, incelemesinde diğer sürümlerin veya resmî dağıtımın etkilendiğine dair kanıt bulmadığını bildirdi. Daha sonra kötü amaçlı paketi dağıtan tek kaynağın Cursor olduğunu doğruladı. BleepingComputer, Cursor ve Anthropic’e ulaştığını ve yanıt alırsa haberini güncelleyeceğini söyledi.