Ing. Calogero Bono
W czwartek zmanipulowana wersja rozszerzenia Claude Code dla Visual Studio Code była przez około 11 godzin dostępna w marketplace Cursora. Zawiera backdoor SSH przeznaczony dla Windows, macOS i Linuksa. Według Cursora mógł dotknąć najwyżej 5000 użytkowników. Ma to znaczenie, bo rozszerzenie działa z uprawnieniami środowiska programistycznego, więc może sięgnąć do lokalnych plików i kodu źródłowego. O sprawie pisaliśmy już w naszej pierwszej relacji.
Kilka pojęć, zanim przejdziemy do faktów. Backdoor to ukryte tylne wejście, dzięki któremu napastnik może ponownie wejść do komputera. SSH to protokół służący do zdalnego sterowania komputerem. Reverse SSH tunnel to połączenie nawiązane z komputera ofiary do napastnika. Supply chain to atak, który przechodzi przez zaufanego dostawcę lub kanał dystrybucji. EDR to oprogramowanie wykrywające podejrzane zachowania na urządzeniach firmowych.
Co się stało na Cursorze?
Według Wired Cursor, należący do SpaceX, przez około 11 godzin udostępniał złośliwe rozszerzenie Claude Code. Firma mówi o pobraniach przez «najwyżej 5000 użytkowników» i na pewien czas zamknęła marketplace.
Według The Register wersja 2.1.313 była dostępna do pobrania od 02.27 do 13.35 czasu Pacyficznego w czwartek, czyli od 09.27 do 20.35 UTC. Wykryła ją firma Phorion, dostawca EDR, po tym jak znalazła ją na Macu klienta.
Co robi backdoor?
Według Ars Technica Cursor informuje, że kod próbuje zainstalować trwały backdoor SSH. Dodaje klucz SSH napastnika, włącza lokalną usługę SSH i otwiera odwrócony tunel.
Analizy dostawców, cytowane przez The Register, pokazują też zbieranie nazw użytkowników, skonfigurowanych adresów e-mail Git i publicznych adresów IP. Te dane są wysyłane do napastnika.
Ponieważ rozszerzenia Cursora działają z uprawnieniami środowiska programistycznego, zainfekowana wersja prawdopodobnie ma dostęp do lokalnych plików, kodu źródłowego i narzędzi programistycznych.
Dlaczego szkody były ograniczone?
Malware miał wadę. Skrypt otwierający tunel SSH wymagał uprawnień administratora na macOS i Windows i w zdecydowanej większości przypadków ich nie miał, więc się nie udawało. Wired nazywa to szczęściem.
Calum Hall z Phorion powiedział, że «wszyscy mieli ogromne szczęście, to mogło być naprawdę niebezpieczne miejsce zaczepienia dla napastnika».
Ta wada jednak nie zeruje ryzyka. Rozszerzenie i tak wysyła zebrane dane, zostawia klucz napastnika i instaluje mechanizm utrzymania się w systemie.
Kto ponosi odpowiedzialność?
Anthropic zaprzecza jakiemukolwiek włamaniu. Felix Rieseberg z jej zespołu technicznego napisał, że napastnik użył dostępu do marketplace Cursora, aby opublikować zmienioną kopię, a wersje z oficjalnych kanałów nie są zagrożone. Więcej o tym przypadku znajdziesz w naszym artykule o Claude Code 2.1.314.
Wcześniejsze relacje były inne. Ars Technica pisze, że wersja 2.1.313 miała pochodzić z oficjalnego konta Anthropic na Cursorze. Według Wired Cursor oświadczył, że złośliwych wersji nie opracował Anthropic. Jak napastnik zdobył dostęp, pozostaje niewyjaśnione.
Ograniczenia, o których warto wiedzieć
Nie wiadomo, jak pakiet trafił do marketplace. Cursor nie wyjaśnił, czy doszło do naruszenia wewnętrznego, i nie odpowiedział Wired. Liczba 5000 użytkowników to maksimum podane przez firmę, a nie dane zweryfikowane niezależnie. Źródła różnią się też co do czasu trwania – około 11 godzin według Cursora i prawie 12 według Ars Technica. Nie wiemy, czy doszło do udanych włamań.
Co się zmienia dla osób pracujących w cyfrowym świecie
Jeśli w czwartek używałeś Cursora, sprawdź zainstalowaną wersję rozszerzenia. Sama aktualizacja nie wystarczy, bo poprawiona wersja nie usuwa mechanizmu utrzymania się w systemie. Skorzystaj z kroków i skryptów czyszczących opublikowanych przez Cursora i szukaj nieznanych kluczy SSH. Osoby, które zarządzają serwerami lub repozytoriami z dostępem z laptopa, powinny zmienić hasła i klucze. Ten przypadek pokazuje, jak duże znaczenie mają dostawcy w procesie pracy, czym zajmujemy się w przewodniku po rejestrze dostawców NIS2.
Nasze zdanie
To, że atak w prawie wszędzie się nie udał, jest szczęściem, a nie zabezpieczeniem. Marketplace rozszerzeń z automatyczną aktualizacją domyślnie to uprzywilejowany kanał dotarcia do maszyn programistów i tak trzeba go traktować. Anthropic słusznie podkreśla, że jej systemy nie mają z tym nic wspólnego, ale dla użytkownika to rozróżnienie niewiele znaczy, bo na rozszerzeniu widniała ich nazwa. Potrzebna jest przejrzystość ze strony Cursora w kwestii tego, jak uzyskano dostęp.
Najczęstsze pytania
Kogo dotknęło rozszerzenie Claude Code z infekcją?
Tylko osoby korzystające z Cursora, które zainstalowały wersję 2.1.313. Według Anthropic wersje z jej oficjalnych kanałów nie są zagrożone. Cursor szacuje najwyżej 5000 użytkowników.
Przez jak długo złośliwa wersja była dostępna?
Około 11 godzin według Cursora i The Register. Można ją było pobrać w czwartek między 09.27 a 20.35 UTC. Ars Technica mówi o prawie 12 godzinach.
Czy wystarczy zaktualizować rozszerzenie, żeby być bezpiecznym?
Nie. Instalacja najnowszej wersji nie usuwa mechanizmu utrzymania się w systemie, który zostawił malware. Potrzebne są kroki czyszczące i skrypty wskazane przez Cursora.
Czy Anthropic został zhakowany?
Według Anthropic nie. Rieseberg i Dworken twierdzą, że nie doszło do naruszenia jej systemów ani laptopów pracowników. Napastnik miał rzekomo wykorzystać dostęp do marketplace Cursora.
Co zrobił Cursor po incydencie?
Usunął złośliwą wersję, na wszelki wypadek zamknął marketplace i sprawdził pozostałe rozszerzenia. Zmienił też własne klucze i razem z dostawcą chmury zablokował połączenie z serwerem napastnika.
Czego spodziewać się od Cursora i Anthropic w najbliższych tygodniach
Brakującym elementem jest przyczyna. Dopóki Cursor nie wyjaśni, jak napastnik się dostał, ryzyko dla innych marketplace pozostaje otwarte.
- Śledź ewentualny raport Cursora o przyczynie dostępu i o wykorzystaniu zmienionych kluczy.
- Sprawdź, czy Anthropic bezpośrednio informuje klientów, skoro dotąd tego nie robiła.
- Rozważ wyłączenie automatycznej aktualizacji rozszerzeń w ustawieniach edytora.
