В событии, которое абсолютно никого не удивит, если вы когда-нибудь бормотали: «уж автообновление-то меня точно не предаст», официальное расширение VS Code для модели Claude от Anthropic было скомпрометировано через бэкдор и поставило под угрозу машины до 5 000 разработчиков, сообщили в пятницу несколько источников. Anthropic, со своей стороны, пока отказалась предупредить клиентов об инциденте — предположительно руководствуясь почтенным корпоративным принципом: если не упоминать утечку, это скорее вайб, чем кризис.

Скомпрометированный пакет был расширением VS Code, доступным в маркетплейсе Cursor, производителя инструментов для разработки с ИИ, сообщила компания в пятницу. Вредоносная версия 2.1.313 впоследствии затронула «максимум 5 000 пользователей», предположительно когда они либо скачали её, либо их системы автоматически подтянули и установили её — потому что ничто так не говорит «современное ПО», как функция, которая устанавливает ваши проблемы за вас.

Anthropic выпустила версию 2.1.314 через несколько часов после того, как предыдущая версия стала доступна в Cursor, по словам независимого исследователя Кевина Бомонта. И Бомонт, и технический директор и соучредитель security-фирмы Phorian заявили, что версия 2.1.313 распространялась через официальный аккаунт Anthropic в Cursor. Пока ни Cursor, ни Anthropic не объяснили, как атакующие получили контроль над аккаунтом — деталь, которая, кажется, могла бы стоить, скажем, поста в блоге.

«Это была компрометация цепочки поставок, в ходе которой атакующий получил доступ к официальному каналу распространения», — сказал Ars технический директор и соучредитель Phorian Люк Робертс. «Вредоносная версия 2.1.313 была опубликована в официальном аккаунте Anthropic, фактически заменив 2.1.312. Расширения в Cursor по умолчанию обновляются автоматически, но пользователи могут настроить это в настройках». У Phorian есть больше деталей здесь — предположительно в документе под названием «То, что вы хотели бы знать заранее».

Anthropic до сих пор не выпустила публичного уведомления об инциденте для клиентов. Коммуникационная стратегия компании, похоже, смоделирована по мысленному эксперименту «если дерево падает в лесу», только дерево — это бэкдор, а лес — ваш ноутбук.

Cursor заявила, что вредоносное расширение пытается установить постоянный SSH-бэкдор, используя добавленный SSH-ключ, контролируемый атакующим, включая локальную службу SSH и открывая обратный SSH-туннель. Код был написан для работы на Windows, macOS и Linux — достойная восхищения приверженность кросс-платформенной совместимости, если уж на то пошло. Поскольку расширения Cursor работают с разрешениями интегрированной среды разработки инструмента, версия с бэкдором, вероятно, получила бы доступ к локальным файлам, исходному коду и инструментам разработчика после установки. Иными словами, у неё был полный доступ ко всему.

Phorion заявила, что кража имён переменных позволила оператору быстро провести инвентаризацию облачных учётных данных и API-токенов, хранящихся на скомпрометированном устройстве, вероятно, чтобы определить приоритетные машины для последующих атак. Эффективно! Почти профессионально. Можно даже назвать это «корпоративного уровня».

Ошибки во вредоносном коде для Windows и macOS в некоторых случаях мешали работе бэкдора. Phorion заявила, что, несмотря на ошибки в коде, «вредоносное ПО по-прежнему представляет значительную угрозу, устанавливая механизмы сохранения и отправляя разведданные о хосте обратно оператору». Так что атакующие были небрежны, но недостаточно небрежны — утешительная золотая середина.

Cursor заявила, что сотрудники компании работали с облачным провайдером, размещающим сервер, к которому подключался обратный шелл, чтобы заражённые устройства больше не могли до него достучаться. Сотрудники также удалили версию с бэкдором из маркетплейса и заблокировали дальнейшее распространение. Компания также закрыла VSCode Marketplace, чтобы сменить ключи, проверить средства контроля доступа и убедиться, что другие расширения не скомпрометированы. Маркетплейс теперь снова открыт — так что можете возвращаться к скачиванию вещей с традиционным уровнем доверия.

Остаётся неясным, почему Anthropic не предупреждает клиентов об угрозе публично и почему она и Cursor не