Claude Code eklentisine Cursor'da truva atı

Eklenti SSH anahtarı ekleyip uzaktan erişim denedi. Anthropic'in Claude Code eklentisinin Cursor için yayımlanan değiştirilmiş bir sürümü, geliştiricilerin bilgisayarlarına uzaktan erişim truva atı (RAT) kurmaya çalıştı.

RAT, bir bilgisayarın başkası tarafından uzaktan yönetilmesini sağlayan zararlı yazılım demek. Claude Code Cursor truva atı olayında saldırgan, Cursor marketine eriştiği için 2.1.313 numaralı paketi yayımlayabildi.

Cursor'a göre olaydan yaklaşık 5000 sistem etkilendi. Öncelikle kötü amaçlı kod, cihaz hakkında bilgi topladı.

Bu veriler arasında şunlar vardı: Ayrıca eklenti, sistem ve arka kapı durumuna dair bilgileri saldırganın sunucusuna gönderdi. Böylece saldırgan, hangi bilgisayarın hedef alınabileceğini görebiliyordu.

Ancak bu bilgi toplama adımı, işin yalnızca ilk aşamasıydı. Ardından kod, saldırganın SSH anahtarını izinli anahtarlar listesine eklemeye çalıştı.

SSH, bir bilgisayara şifreli biçimde uzaktan bağlanmaya yarayan yöntemdir. Kod aynı zamanda yerel SSH hizmetini açmayı da denedi.

Son adım ise ters SSH tüneli kurmaktı.

Gelişmenin Detayları

Bu tünel sayesinde saldırgan, bilgisayara dışarıdan bağlanabilecekti. Cursor'un açıklamasına göre kalıcı erişim denemesi çoğu durumda başarısız olmalıydı.

Çünkü kötü amaçlı koddaki hatalar yüzünden yöntem yalnızca olağan dışı koşullarda çalışıyordu. Örneğin Cursor'un yönetici haklarıyla açılması gerekiyordu.

Bağlantı denemeleri için betikler yaklaşık 60 saniyede bir çalıştı. Cursor, zararlı paketi Anthropic'in geliştirmediğini belirtti.

Paket, Cursor pazaryerine erişim üzerinden yüklendi. Bununla birlikte paylaşımı yapan kişiye göre paket, doğrulanmış Anthropic hesabı adına yayımlandı.

Dolayısıyla Claude Code Cursor truva atı olayı bir yazılım tedarik zinciri saldırısı. Anthropic'in kendi altyapısına yönelik bir saldırı değil.

Sürüm 2.1.313 pazaryerlerinden kaldırıldı ve yerine 2.1.314 geldi. Ancak güncelleme, bulaşan bilgisayarlarda oluşmuş SSH arka kapısını silmiyor.

Üstelik yeni sürümde zararlı kod bulunmadığı henüz doğrulanamadı.

Şüpheli etkinliği ilk fark eden ekip Phorion oldu. Uzmanlar ayrıca Microsoft Defender for Endpoint içinde enfeksiyon izlerini aramak için KQL sorgularını paylaştı.

Öte yandan kaç sistemin gerçekten çalışan bir uzaktan erişim kanalı elde ettiği açıklanmadı. Bu nedenle etkilenmiş olabilecek geliştiricilerin, 2.1.313 sürümünü kullanıp kullanmadığını kontrol etmesi gerekiyor.

Aynı zamanda SSH izinli anahtarlar listesine de bakmaları gerekiyor. Bu gelişme hakkında sen ne düşünüyorsun?

Hesabın varsa giriş yap, adınla yorum yaz. Yorumlar yapay zekâ destekli ön elemeden geçer; son karar moderatördedir.

Topluluk kuralları