Oficjalne rozszerzenie Claude do Cursora było zainfekowane przez prawie 12 godzin i zagroziło 5000 deweloperom

Ten news ukazał się 8 godzin po komunikacie źródła.

👁 114 przeczytań

Przez prawie 12 godzin oficjalne rozszerzenie VS Code dla modelu Claude Anthropica, dystrybuowane z konta samej firmy w marketplace Cursora, instalowało na maszynach deweloperów trwały backdoor SSH. Zagroziło to maksymalnie 5000 użytkownikom, którzy pobrali lub automatycznie zaktualizowali pakiet do wersji 2.1.313. Anthropic nie wydał w tej sprawie żadnego publicznego ostrzeżenia.

Jak to działało

Złośliwa wersja trafiła do marketplace Cursora z oficjalnego konta Anthropica, skutecznie zastępując poprzednią, czystą wersję 2.1.312. Ponieważ rozszerzenia Cursora domyślnie aktualizują się automatycznie, użytkownicy mogli zostać zainfekowani bez żadnej świadomej akcji z ich strony. Poprawka, wersja 2.1.314, pojawiła się kilka godzin później, co ustalił niezależny badacz Kevin Beaumont.

Mechanizm ataku opisała szczegółowo firma Phorian, której CTO i współzałożyciel Luke Roberts opublikował analizę techniczną. Zdaniem Robertsa był to klasyczny atak na łańcuch dostaw: napastnik przejął kontrolę nad oficjalnym kanałem dystrybucji, co sprawiło, że użytkownicy nie mieli żadnych podstaw, by podejrzewać zagrożenie. Ani Cursor, ani Anthropic nie wyjaśnili dotychczas, w jaki sposób atakujący uzyskał dostęp do konta.

Karta narzędziaClaudeClaude AI to asystent sztucznej inteligencji firmy Anthropic, a po polsku rozmawia bez żadnych ustawień: piszesz po polsku, odpowiedź dostajesz po polsku.Wszystko o Claude →

Złośliwy kod wykonywał kilka operacji równolegle. Przede wszystkim zbierał szczegóły dotyczące zainfekowanej maszyny: nazwę hosta, nazwę użytkownika, system operacyjny, architekturę, ścieżkę do katalogu domowego, nazwy zmiennych środowiskowych, katalogi robocze, adres e-mail skonfigurowany w Git oraz publiczny adres IP. Następnie próbował dodać klucz SSH kontrolowany przez atakującego do pliku authorized_keys, włączyć lokalną usługę SSH i otworzyć odwrotny tunel SSH. W tle działał skrypt ponawiający próbę połączenia mniej więcej co 60 sekund. Wszystkie zebrane dane i status backdoora były wysyłane przez HTTP POST na endpoint /beacon na porcie 8099.

Dlaczego kradzież zmiennych środowiskowych to poważna sprawa

Na pierwszy rzut oka lista zbieranych danych może wyglądać niewinnie, ale Phorian zwraca uwagę na jeden szczegół, który zmienia ocenę całej operacji: nazwy zmiennych środowiskowych. Dla typowego dewelopera korzystającego z narzędzi AI w środowisku chmurowym zmienne środowiskowe to właśnie miejsce, gdzie przechowywane są klucze API, tokeny dostępu do usług AWS, GCP czy Azure oraz dane uwierzytelniające do pipeline’ów CI/CD. Samo poznanie ich nazw pozwala atakującemu natychmiast ocenić, które maszyny mają dostęp do najwartościowszych zasobów i od których zacząć dalsze działania.

Roberts powiedział wprost: backdoor miał umożliwić szybką inwentaryzację poświadczeń chmurowych i tokenów API na zainfekowanych urządzeniach, żeby atakujący mógł priorytetyzować, które maszyny zaatakować w kolejnym kroku.

„Złośliwa wersja 2.1.313 została opublikowana z oficjalnego konta Anthropica, skutecznie zastępując wersję 2.1.312. Rozszerzenia domyślnie aktualizują się w Cursorze automatycznie, ale użytkownicy mogą to zmienić w ustawieniach.”

- Luke Roberts, CTO i współzałożyciel Phorian

Kod backdoora napisano z myślą o trzech platformach: Windows, macOS i Linux. Na obu pierwszych błędy programistyczne w złośliwym kodzie uniemożliwiały pełne działanie mechanizmu trwałości (persistence) - na macOS miał on działać przez LaunchAgent, a na Windows przez zaplanowane zadanie uruchamiane jako SYSTEM z awaryjnym fallbackiem przez skrypt startowy. Mimo to Phorian nie zbagatelizował zagrożenia. Roberts ocenił, że nawet z wadliwym kodem malware stanowi poważne ryzyko, bo instaluje trwałość i odsyła rozpoznanie hosta do operatora.

Szczególny kontekst: IDE jako wektor ataku

To, co czyni ten incydent wyjątkowo groźnym, wynika bezpośrednio z architektury samego Cursora. Rozszerzenia VS Code działają z uprawnieniami procesu IDE, co oznacza, że zainfekowany pakiet uzyskuje dostęp do lokalnych plików, kodu źródłowego i narzędzi deweloperskich. W przypadku programisty pracującego nad produktem komercyjnym lub infrastrukturą chmurową zakres potencjalnych szkód jest nieporównywalnie większy niż przy typowym infekowaniu przeglądarki czy aplikacji biurowej. Maszyna dewelopera to punkt wejścia do repozytoriów kodu, środowisk produkcyjnych i wszelkich zasobów, do których programista ma uprawnienia.

Cursor podał, że jego pracownicy skontaktowali się z dostawcą chmury hostującym serwer, do którego łączyły się zainfekowane urządzenia, i doprowadzili do zablokowania tego połączenia. Firma usunęła też zainfekowaną wersję z marketplace. Nie zmienia to jednak faktu, że przez prawie 12 godzin złośliwy pakiet był dostępny jako oficjalna aktualizacja, podpisana i dystrybuowana z konta jednej z najbardziej rozpoznawalnych firm w ekosystemie AI.

Czytasz Promptowego częściej? Dodaj go do preferowanych źródeł w Google, a nowe teksty będą wyżej w Twoich wynikach.

Cisza Anthropica

Być może najbardziej uderzający element całej historii to brak reakcji ze strony Anthropica. Według raportu Ars Technica opublikowanego w piątek firma nie wydała żadnego publicznego komunikatu o incydencie. Użytkownicy, którzy chcą wiedzieć, czy ich maszyny były zainfekowane, muszą posiłkować się analizami niezależnych badaczy, takich jak Kevin Beaumont i zespół Phorian.

To problem wykraczający poza sam incydent. Gdy zainfekowane oprogramowanie pochodzi z oficjalnego konta twórcy, tradycyjne rady bezpieczeństwa - pobieraj tylko z zaufanych źródeł, sprawdzaj autora - tracą sens. W tym przypadku to właśnie zaufane źródło było wektorem ataku. Deweloperzy korzystający z automatycznych aktualizacji i zaufający marce Anthropica nie mieli realnej szansy na uniknięcie problemu bez wyłączenia mechanizmu auto-update.

Cursor zapowiedział publikację pełnego raportu technicznego dotyczącego incydentu - nie podano konkretnej daty jego udostępnienia.