امنیت Cursor؛ افزونه جعلی Claude Code درِ پشتی SSH کاشت

امنیت Cursor پس از انتشار یک نسخه آلوده از افزونه Claude Code زیر سؤال رفت. این افزونه جعلی که با شماره نسخه 2.1.313 عرضه شده بود، حدود ۱۱ ساعت در فروشگاه افزونه Cursor در دسترس بود و ممکن است تا ۵ هزار توسعه‌دهنده را در معرض بدافزاری برای نصب درِ پشتی پایدار SSH قرار داده باشد.

افزونه آلوده بین ساعت ۲:۲۷ بامداد تا ۱:۳۵ بعدازظهر ۲۹ اکتبر به وقت اقیانوس آرام منتشر شد. Cursor می‌گوید Anthropic سازنده این بسته نبوده است، اما هنوز توضیح نداده مهاجمان چگونه توانستند افزونه مخرب را با نام Anthropic در بازار آن منتشر کنند.

پژوهشگران Phorion و OpenSourceMalware یک بارگذار جاوااسکریپت مخرب را در ابتدای فایل extension.js شناسایی کردند؛ در حالی که باقی کد افزونه اصلی دست‌نخورده بود. کد مخرب با بارگذاری افزونه اجرا می‌شد و نیازی به تعامل کاربر با Claude Code نداشت؛ خطری مشابه افزونه‌های مخرب مرورگر.

اشتباه‌های فنی در تنظیم SSH احتمالاً دسترسی از راه دور به بسیاری از دستگاه‌های ویندوز و macOS را ناممکن کرده است؛ با این حال، بدافزار همچنان کلید SSH نصب می‌کرد، برای ماندگاری تلاش می‌کرد و اطلاعات شناسایی مانند نام کاربری، نام میزبان، IP عمومی، ایمیل Git و نام متغیرهای محیطی حساس را ارسال می‌کرد.

Cursor افزونه را حذف و فروشگاه خود را موقتاً برای بررسی دیگر افزونه‌ها و تعویض کلیدهای دسترسی تعطیل کرد. توسعه‌دهندگانی که در بازه یادشده افزونه را نصب کرده‌اند باید وجود کلید SSH با نام «svc-telemetry» را بررسی کنند؛ در صورت آلودگی، دستگاه را ایزوله کنند، اسرار و نشست‌ها را تعویض و محیط را از پشتیبان امن بازسازی کنند.

منبع: BleepingComputer