تعرض مستخدمو محرر الأكواد البرمجية المدعوم بالذكاء الاصطناعي Cursor لمحاولة اختراق استهدفت سلاسل الإمداد البرمجية، وذلك عبر إدراج إصدارات خبيثة من إضافة Claude Code التابعة لشركة Anthropic داخل المتجر المخصص للمحرر، واستمر وجودها لمدة قاربت 11 ساعة قبل اكتشافها وحذفها.
ووفقاً للبيانات التقنية، شملت الحادثة الإصدارين 2.1.312 و2.1.313 من الإضافة التي تحمل المعرّف anthropic.claude-code. وقدر الباحث الأمني كيفن بومونت (Kevin Beaumont) أن البرمجية الخبيثة قد تكون وُزعت إلى قرابة 5,000 نظام من أجهزة المطورين العاملين على بيئتي التشغيل macOS وWindows قبل إزالتها.
آلية الهجوم ومحاولات التجسس
اعتمد المهاجمون على تضمين شيفرة بلغة جافاسكريبت (JavaScript) تعمل تلقائياً بمجرد تحميل حزم الإضافة داخل المحرر. وركزت المرحلة الأولى من الهجوم على استطلاع البيئة البرمجية عبر جمع معلومات حساسة عن النظام المضيف، تضمنت:
- اسم الجهاز (Hostname) واسم المستخدم ونوع نظام التشغيل وبنيته المعمارية.
- مسار مجلد العمل الحالي (Working Directory).
- عنوان البريد الإلكتروني المسجل عالمياً في أداة إدارة النسخ Git.
وأوضحت التحليلات، بما في ذلك ما رصدته شركة مايكروسوفت، أن الشيفرة حاولت بعد ذلك تثبيت مفتاح SSH، وتفعيل خادم SSH محلي على جهاز الضحية، وإنشاء نفق اتصالي عكسي (Reverse SSH Tunnel) يتيح للمهاجمين تجاوز الجدران النارية، إلى جانب زرع ملفات تشغيل ذاتي تضمن بقاء الاختراق حتى بعد إعادة تشغيل النظام.
فشل الاختراق الكامل وإجراءات الاستجابة
أكدت إدارة Cursor أن محاولة المهاجمين للتحكم بالأنظمة عبر نفق SSH لم تكتمل في معظم الحالات؛ إذ يتطلب تفعيل خدمة SSH المحلية صلاحيات إدارة عليا (Admin/Root) لا تمتلكها الإضافة افتراضياً على أغلب أجهزة macOS وWindows، مما منع المهاجمين من إتمام خطوة تسجيل الدخول عن بُعد.
من جانبها، أوضحت أنثروبيك عبر مهندسها فيليكس ريسبرغ (Felix Rieseberg) أن النسخ المزيفة لم تُطور أو تُنشر من قبل الشركة، ولم تُطرح على المتاجر الرسمية الأخرى مثل Visual Studio Marketplace أو Open VSX أو سجل NPM. ولتجنب أي تداخل في أرقام الإصدارات، قامت أنثروبيك برفع رقم نسختها الرسمية مباشرة إلى 2.1.314.
خطوات الاحتواء وما الذي يجب على المطورين فعله؟
سارعت منصة Cursor إلى إزالة الإضافتين المشبوهتين وإيقاف المتجر مؤقتاً لمراجعته، كما قامت بتدوير كافة مفاتيح الأمان وإعادة بناء بيئة المتجر قبل إعادة فتحها، بالتوازي مع التنسيق مع مزود الاستضافة السحابية لإيقاف خادم التحكم الذي استخدمه المهاجمون.
وشددت الشركة على أن مجرد إلغاء تثبيت الإضافة من المحرر قد لا يكون كافياً لتنظيف النظام المصاب، لأن الحمولة الخبيثة تنشئ نصوصاً برمجية مستقلة لتثبيت الوجود داخل النظام. ووفرت Cursor نصاً برمجياً للفحص جنباً إلى جنب مع مؤشرات الاختراق (IoCs)، مع التوصية بعزل الأجهزة المشتبه بإصابتها، ومسح مفاتيح SSH غير المصرح بها، وإيقاف مسارات الأنفاق قيد التشغيل، وتقييم الحاجة لإعادة تهيئة النظام بالكامل لضمان التخلص من أي أثر للبرمجية.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.