W wydarzeniu, które nie zaskoczy absolutnie nikogo, kto kiedykolwiek mruknął „na pewno automatyczna aktualizacja mnie nie zdradzi”, oficjalne rozszerzenie VS Code dla modelu Claude od Anthropic zostało zainfekowane backdoorem i zagroziło maszynom nawet 5000 deweloperów, doniosło w piątek kilka źródeł. Anthropic, ze swojej strony, jak dotąd nie ostrzegł klientów o incydencie – działając najwyraźniej zgodnie z czcigodną zasadą korporacyjną, że jeśli nie wspomnisz o naruszeniu, to bardziej klimat niż kryzys.

Skompromitowany pakiet to rozszerzenie VS Code dostępne w marketplace Cursor, producenta narzędzi deweloperskich wspomaganych AI, poinformowała firma w piątek. Złośliwa wersja 2.1.313 dotknęła następnie „co najwyżej 5000 użytkowników”, przypuszczalnie gdy ją pobrali lub ich systemy automatycznie ją pobrały i zainstalowały – bo nic nie mówi „nowoczesne oprogramowanie” jak funkcja, która instaluje ci problemy za ciebie.

Anthropic wypuścił wersję 2.1.314 kilka godzin po tym, jak poprzednia wersja stała się dostępna w Cursor, według niezależnego badacza Kevina Beaumonta. Zarówno Beaumont, jak i CTO oraz współzałożyciel firmy bezpieczeństwa Phorian stwierdzili, że wersja 2.1.313 została rozpowszechniona przez oficjalne konto Anthropic w Cursor. Jak dotąd ani Cursor, ani Anthropic nie wyjaśniły, w jaki sposób atakujący przejęli kontrolę nad kontem – szczegół, który wydaje się wart, powiedzmy, wpisu na blogu.

„To było naruszenie łańcucha dostaw, w którym atakujący uzyskał dostęp do oficjalnego kanału dystrybucji” – powiedział Ars Luke Roberts, CTO i współzałożyciel Phorian. „Złośliwa wersja 2.1.313 została opublikowana na oficjalnym koncie Anthropic, skutecznie zastępując 2.1.312. Rozszerzenia w Cursor domyślnie aktualizują się automatycznie, ale użytkownicy mogą to skonfigurować w ustawieniach”. Phorian ma więcej szczegółów tutaj – przypuszczalnie w dokumencie zatytułowanym „Rzeczy, które chciałbyś wiedzieć wcześniej”.

Anthropic nie wydał jeszcze publicznego powiadomienia o incydencie dla klientów. Strategia komunikacyjna firmy wydaje się wzorowana na eksperymencie myślowym „jeśli drzewo upada w lesie”, z tą różnicą, że drzewem jest backdoor, a lasem – twój laptop.

Cursor poinformował, że złośliwe rozszerzenie próbuje zainstalować trwały backdoor SSH przy użyciu dodanego klucza SSH kontrolowanego przez atakującego, włączając lokalną usługę SSH i otwierając odwrotny tunel SSH. Kod został napisany tak, aby działał na Windows, macOS i Linux – godne podziwu zaangażowanie w kompatybilność międzyplatformową, jeśli nic więcej. Ponieważ rozszerzenia Cursor działają z uprawnieniami zintegrowanego środowiska programistycznego narzędzia, wersja z backdoorem prawdopodobnie uzyskałaby dostęp do lokalnych plików, kodu źródłowego i narzędzi deweloperskich po instalacji. Innymi słowy, miała wolną rękę.

Phorion stwierdził, że kradzież nazw zmiennych pozwoliła operatorowi szybko zinwentaryzować dane uwierzytelniające do chmury i tokeny API przechowywane na zainfekowanym urządzeniu, prawdopodobnie po to, by ustalić priorytety, które maszyny atakować w kolejnych atakach. Wydajne! Prawie profesjonalne. Można by nawet nazwać to „klasy korporacyjnej”.

Błędy w złośliwym kodzie dla Windows i macOS uniemożliwiły działanie backdoora w niektórych przypadkach. Phorion stwierdził, że mimo wad kodowania „złośliwe oprogramowanie nadal stanowi poważne zagrożenie, które instaluje trwałość i wysyła rozpoznanie hosta z powrotem do operatora”. Więc atakujący byli niechlujni, ale nie aż tak – pocieszający złoty środek.

Cursor poinformował, że personel firmy współpracował z dostawcą chmury hostującym serwer, z którym łączył się odwrotny shell, aby zainfekowane urządzenia nie mogły już do niego dotrzeć. Personel usunął również wersję z backdoorem z marketplace i zablokował dalszą dystrybucję. Firma zamknęła także VSCode Marketplace, aby wymienić klucze, przeprowadzić audyt kontroli dostępu i potwierdzić, że żadne inne rozszerzenia nie zostały skompromitowane. Marketplace jest teraz otwarty – więc możesz wrócić do pobierania rzeczy z tradycyjną dozą zaufania.

Pozostaje niejasne, dlaczego Anthropic nie ostrzega publicznie klientów o zagrożeniu i dlaczego on i Cursor nie