Siber güvenlik şirketi Phorion'un ortaya çıkardığı bir olaya göre, VS Code pazarında Cursor tarafından sunulan Claude Code uzantısının 2.1.313 numaralı sürümü, Windows, macOS ve Linux'ta çalışan kalıcı bir SSH arka kapısı içeriyordu. Zararlı paket yaklaşık 11 saat boyunca indirilebilir durumdaydı ve Phorion'un tahminlerine göre en fazla 5.000 geliştiriciyi etkiledi.
Zararlı paket nasıl çalışıyordu?
SSH arka kapısı, kurbanının bilgisayarından zararlı bir sunucuya ters bağlantı açmaya çalışıyordu. Paket, kullanıcı adları, Git e-postaları ve genel IP adreslerine erişti. Ayrıca saldırganın SSH anahtarını sistem üzerine yükleyerek ve kalıcılık mekanizmaları kurarak makinenin uzaktan kontrolünü hedefledi. Bununla birlikte, arka kapı süreci macOS ve Windows'ta yönetici haklarına ihtiyaç duyuyordu. Çoğu geliştirici bu hakka sahip olmadığı için tünelin açılması başarısız oldu. Yine de, uzantı başarısız olsa bile, toplanan verileri saldırganına göndermiş, SSH anahtarını yükleyebilmiş ve sistemle ilgili bilgiler iletmiştir.
Phorion'un inceleme raporuna göre, bu tür bir arka kapı tehlikesi "kritik" olarak değerlendirildi. Zararlı kod, bir başka yazılım saldırganı tarafından daha ileri işlemler yapmak için kullanılabilirdi. Eğer yönetici haklarını elde edebilseydi, saldırgan tamamen kontrol sahibi olabilirdi.
Temizleme ve olay yönetimi
Uzantıyı güncellemek enfeksiyonu temizlemeye yetmedi. Kalıcılık mekanizması hala sistemde kalıyordu. Cursor, etkilenen kullanıcılardan sistemlerinde SSH tünelinin başarıyla kurulup kurulmadığını kontrol etmelerini istedi. Cursor'ın danışmanı, şüpheli dosya ve kayıt anahtarları arama rehberi sundu. Ayrıntılı temizleme betikleri ve elle kaldırma adımları Cursor'ın resmi duyurusunda yer aldı.
Cursor, ihtiyaten VS Code Marketplace'i tamamen kapattı. Şirket ayrıca diğer uzantılarda benzer bir ihlal olup olmadığını kontrol etti, tüm erişim anahtarlarını yeniden oluşturdu ve bulut sağlayıcısı ile birlikte saldırganın sunucularına giden bağlantıları engelledi. Anthropic, sorununun kendi sistemlerini ya da çalışanların cihazlarını hedef almasının sonucu olmadığını belirtti. Şirketin teknik personeli Felix Rieseberg, kötü niyetli aktörün Cursor pazarındaki erişimi kullanarak Claude Code'un değiştirilmiş bir kopyasını yayımladığını söyledi.
Açık sorular ve dersler
Herkesin merak ettiği soru: zararlı paket resmi pazara nasıl girdi? Cursor yönetim süreci tam olarak açıklanmadı. Hangi kontrol mekanizmaları başarısız oldu? Neden ilk denetim bunu yakalamadı? Bu sorular yanıtsız kaldı. Olayın ardından, yazılım uzantılarının güvenliği ve pazarların denetim yönetimleri üzerine sektörel tartışmalar başladı.
Merak edilenler
Dosyalanmış veriler geri alınabilir mi? Saldırgan sunucusu engellendi ancak önceden topladığı verilerle ne yapacağı belirsiz.
Benzer arka kapılar başka uzantılarda var mı? Cursor kontrol etti ve bulunmadığını söyledi, ancak bağımsız doğrulaması yoktur.
Cursor Market nasıl daha korunabilir? Site yeniden açıldığında sertifikasyon süreci artırılabileceği tartışılıyor.
