Claude Code: подправена версия в Cursor остави ключ за вход

преди 1 минута

време за четене: 4 мин.

За около 11 часа на 29 октомври магазинът за разширения на редактора Cursor разпространяваше подправена версия на Claude Code, публикувана под истинското име на Anthropic. Тя добавяше ключ за отдалечен достъп на нападателя в компютъра на разработчика, без той да отвори чат с асистента. Достатъчно е било разширението да се зареди - без клик и без пропусната кръпка.

В тъмен офис нощем мъж разработчик работи съсредоточено пред монитора, а зад гърба му робот в тъмен шлифер тихо подменя отвертка в отворената кутия с инструменти на бюрото с идентична, на чиято дръжка мига червена светлинка, докато колежка от съседното бюро го забелязва и замръзва с чаша в ръка.

Какво се случи в магазина на Cursor

Според бележката на Cursor, уточнена на 30 октомври, между около 2:27 и 13:35 тихоокеанско време на 29 октомври в магазина са стояли версии 2.1.312 и 2.1.313 на разширението за Windows и macOS. Компанията уточнява, че те не са разработени от Anthropic и че други разширения не са засегнати. Cursor махна версията, спря целия магазин, смени ключовете си и го пусна наново, а сървърът на нападателите беше изключен със съдействието на хостинг доставчика.

Според Cursor потенциално засегнатите потребители са най-много 5000, съобщават The Decoder и OX Security. Първите сигнали говореха и за пакета в npm, за Open VSX и за магазина на Microsoft за VS Code, но по-късно се потвърди, че подправената версия е разпространявана само от магазина на Cursor. Cursor е редактор, построен върху отворения код на VS Code, но разширенията за него минават през собствен магазин.

Как нападателите са качили версия под името на Anthropic, още не е обяснено. BleepingComputer е изпратила въпроси и до двете компании и към публикуването не е получила отговор.

Какво прави подправеният Claude Code

Изследователите от OpenSourceMalware установиха, че разликата е само във файла extension.js. Пред истинския код е вмъкната функция от 66 реда, а останалото, включително самата програма на Claude Code, е оригинално. Функцията тръгва при зареждането на разширението, тоест не е нужно потребителят да започне разговор с асистента.

Първо тя събира данни за машината: име на компютъра и потребителя, операционна система, домашна папка, имейл в Git и имената на до 40 променливи на средата, които съдържат думи като KEY, TOKEN, SECRET или AWS. Стойностите им не влизат в първоначално изпратените данни. Имената не са пароли, но показват на нападателя кои облачни услуги и какви достъпи са настроени на машината.

После функцията добавя ключа на нападателя, обозначен като svc-telemetry, към списъка с разрешени ключове за SSH, опитва да включи услугата за отдалечен вход и да отвори обратен тунел към сървъра му. Накрая се закрепва в системата: на macOS като агент при стартиране, на Windows като планирана задача, и опитва тунела наново на около 60 секунди.

Защо атаката често не е стигнала докрай

Анализът на Phorion, цитиран от BleepingComputer, открива две грешки в кода на нападателите. На macOS проверката дали отдалеченият вход е включен се пуска без администраторски права и връща грешка вместо отговор, затова стъпката за включването му се прескача. На Windows инсталирането на SSH сървъра се опитва през команден интерпретатор, какъвто в стандартна инсталация няма.

Cursor стига до същия извод: на повечето компютри с macOS и Windows включването на SSH се проваля и нападателят не би могъл да влезе през тунела. Ключът, механизмът за закрепване и изпращането на данните обаче са сработили. Грешката на нападателите е спасила много машини от вход, но не е изчистила нито една от тях. Cursor предупреждава и че премахването на разширението може да не стигне, защото оставените скриптове продължават да работят.

Какво да проверят екипите с AI инструменти за код

Ако в посочения интервал разширението на Claude Code е инсталирано или обновено от магазина на Cursor, първата проверка е за ключа svc-telemetry в списъка с разрешени ключове за SSH - Cursor публикува готови команди за macOS и Windows. При намерен ключ машината се изолира, пускат се скриптовете за почистване на Cursor, а паролите, ключовете и сесиите, достъпни от нея, се сменят от друг, чист компютър.

По-широкият урок е за канала. Подправено обновление на доверено разширение означава изпълнение на чужд код на машината на разработчика, отбелязва OX Security, а AI асистентите в редактора работят с правата на потребителя - същото, което описахме в по-ранна наша новина за модовете в Claude Code, които вървят без изолация. Каналът за обновления, който обикновено пази от стари уязвимости, този път е доставил атаката. Затова си струва екипът да знае кои разширения на AI инструменти са инсталирани, от кой магазин идват и дали обновленията за критичните от тях минават автоматично или след проверка.

Заключение

Атаката е била груба и на много машини не е стигнала до вход, но е минала през официалния магазин под истинското име на издателя. Колкото повече работа поемат AI асистентите в редактора, толкова по-важно е да се знае какво точно се обновява в него.

Искате да започнете с AI от нулата? Безплатният курс „Основи на AI“ е 17 видео урока, около 35 минути, със сертификат: Започнете безплатния курс по AI

Помагаме на български технологични екипи да въвеждат AI асистенти за писане на код, без да отварят нови пътища за атаки - от избора на инструменти до правилата за обновленията им. Услугите ни покриват одит, оценка на готовност, обучение на екипи и имплементация на специализирани AI автоматизации за всяка организация. Препоръчваме консултация, когато разработчиците сами инсталират разширения на AI инструменти и никой не следи кои версии работят на машините им. [Свържете се с нас за консултация: academy@razvivai.se]