Официальное расширение для модели Claude от Anthropic было взломано и поставило под угрозу до 5000 машин разработчиков, сообщили в пятницу несколько источников. Anthropic пока не предупредила клиентов об инциденте.
Компрометированный пакет представлял собой расширение VS Code, доступное на торговой площадке Cursor, производителя инструментов для разработчиков с ИИ-помощью, заявила компания в пятницу. Вредоносная версия 2.1.313 впоследствии затронула «не более 5000 пользователей», предположительно, когда они либо загрузили ее, либо их системы автоматически получили и установили ее. Anthropic выпустила версию 2.1.314 через несколько часов после того, как предыдущая версия стала доступна на Cursor, согласно независимому исследователю Кевину Бомонту. Как Бомонт, так и технический директор и соучредитель компании по безопасности Phorian заявили, что версия 2.1.313 распространялась через официальный аккаунт Anthropic на Cursor. Пока ни Cursor, ни Anthropic не объяснили, как злоумышленникам удалось получить контроль над учетной записью.
В поисках облачных учетных данных
«Это был компромисс цепочки поставок, когда злоумышленник получил доступ к официальному каналу распространения», — сообщил Ars технический директор и соучредитель Phorian Люк Робертс. «Вредоносная версия 2.1.313 была размещена в официальном аккаунте Anthropic, фактически заменив версию 2.1.312. Расширения в Cursor обновляются автоматически по умолчанию, но пользователи могут настроить это в параметрах». Phorian предоставляет более подробную информацию здесь.
Anthropic пока не выпустила публичное уведомление об инциденте для клиентов.
Cursor заявила, что вредоносное расширение пытается установить постоянный SSH-бэкдор с использованием добавленного ключа SSH, контролируемого злоумышленником, активируя локальную службу SSH и открывая обратный SSH-туннель. Код был написан для работы на Windows, macOS и Linux. Поскольку расширения Cursor работают с разрешениями интегрированной среды разработки (IDE) инструмента, взломанная версия, вероятно, получила бы доступ к локальным файлам, исходному коду и инструментам разработчика после установки.
,
Cursor заявила, что возможности бэкдора включают:
- Сбор информации о хосте и пользователе: имя хоста, имя пользователя, ОС, архитектура, путь к домашнему каталогу, имена переменных среды, рабочие каталоги, настроенный Git-email и публичный IP-адрес.
- Попытка добавить контролируемый злоумышленником ключ SSH в authorized_keys, активировать локальную службу SSH и открыть обратный SSH-туннель. За исключением крайне необычных обстоятельств, когда Cursor запускался с правами администратора, из-за ошибок во вредоносном коде этот шаг не удавался.
- Попытка сделать обратный SSH-туннель постоянным через LaunchAgent (macOS) или запланированную задачу, которая пытается запуститься как SYSTEM с резервным сценарием запуска (Windows). Фоновые скрипты повторяют попытку туннелирования примерно каждые 60 секунд.
- Отправка сведений о хосте и статусе бэкдора через HTTP POST на /beacon на порт 8099.
Phorian заявила, что кража имен переменных позволила оператору быстро провести инвентаризацию облачных учетных данных и токенов API, хранящихся на скомпрометированном устройстве, вероятно, для того, чтобы определить приоритетность машин для целевых атак в последующих действиях.
Ошибки во вредоносном коде для Windows и macOS в некоторых случаях препятствовали работе бэкдора. Phorian заявила, что, несмотря на недостатки кода, «вредоносное ПО по-прежнему представляет собой серьезную угрозу, устанавливая постоянство и отправляя данные разведки хоста оператору».
Cursor заявила, что сотрудники компании работали с облачным провайдером, который размещал сервер, к которому подключался обратный шелл, чтобы зараженные устройства больше не могли к нему получить доступ. Сотрудники также удалили взломанную версию с торговой площадки и заблокировали дальнейшее распространение. Компания также закрыла VSCode Marketplace для смены ключей, аудита контроля доступа и подтверждения того, что другие расширения не были скомпрометированы. Торговая площадка теперь открыта.
Остается неясным, почему Anthropic не предупреждает клиентов об угрозе публично, и почему они и Cursor не объясняют, как произошел компромисс цепочки поставок. Ни одна из компаний не ответила на вопросы с целью получения этой информации.
Любой, кто установил или обновил расширение VS Code от Anthropic из Cursor между 5:27 утра по восточному времени и 4:35 вечера в четверг, должен считать себя затронутым, хотя любому, кто недавно сделал это, также может быть разумно считать себя потенциально зараженным. Как Cursor, так и Phorian приводят различные индикаторы компрометации, включая IP-адреса и криптографические хеши.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Dan Goodin
