Yapay zeka destekli kod editörü Cursor, Anthropic şirketinin popüler Claude Code eklentisinin kötü amaçlı olarak değiştirilmiş bir versiyonu nedeniyle bir güvenlik olayla karşılaştı. Ekim ayında Cursor eklenti mağazası üzerinden yaklaşık 11 saat boyunca dağıtılan bu sürüm, kalıcı SSH bağlantı arka kapıları kurmayı amaçlayan kötü amaçlı yazılımlara 5 bine kadar geliştiricinin maruz kalmasına yol açtı.
Güvenlik mercileri tarafından yürütülen teknik soruşturmalar, ele geçirilen eklentinin 2.1.313 sürüm numarasını taşıdığını ve Pasifik Zaman Dilimi'ne göre sabah 02:27 ile öğleden sonra 13:35 arasında yayınlandığını ortaya koydu. Raporlara göre saldırganlar, eklentinin extension.js dosyasının başına kötü amaçlı bir JavaScript kodu enjekte ederken, eklentinin dışarıdan normal şekilde çalışmasını sağlamak için orijinal kodu sağlam bıraktılar. Kötü amaçlı kod, herhangi bir doğrudan kullanıcı etkileşimine gerek kalmaksızın eklenti yüklenir yüklenmez çalışmaya başlıyor.
Saldırı Mekanizması ve Hedeflenen Veriler
Kötü amaçlı eklenti, kurbanların sistemlerine kurulduğunda; Git e-posta adresi ve genel IP adresi gibi sistem ve kullanıcı hakkında ayrıntılı bilgi toplamak da dahil olmak üzere bir dizi yıkıcı işlem gerçekleştirir. Ayrıca saldırganların kontrolü altında kötü amaçlı bir SSH anahtarı eklemekte, ters tünel oluşturmak için protokol üzerinden erişimi etkinleştirmeye çalışmakta ve Mac sistemlerdeki LaunchAgent özelliği veya Windows'taki zamanlanmış görevler ve başlangıç noktaları gibi sistem araçları aracılığıyla çalışmanın sürekliliğini garanti altına almaktadır.
Eklenti, keşif verilerini ve arka kapı durumunu saldırganlar tarafından kontrol edilen ve 134.209.82.225 IP adresine sahip bir sunucuya gönderdi. Saldırıcının ciddiyetine rağmen araştırmacılar, bağlantı ayarları yordamında saldırganların birçok etkilenen sistemde uzun mesafeli erişim elde etmesini engelleyen programlama hataları olduğunu ortaya koydular; bunun nedeni, daha önceden etkinleştirilmemiş cihazlarda SSH servisinin etkinleştirilmesinin başarısız olmasıydı.
Düzeltici Önlemler ve Platformun Tepkisi
Açığın keşfedilmesinin ardından Cursor platformu, kötü amaçlı eklentiyi hızla kaldırdı ve tüm eklentilerin kapsamlı bir şekilde denetlenmesi ve erişim anahtarlarının döndürülmesi için eklenti mağazasını geçici olarak durdurdu, ayrıca saldırganların sunucusuyla olan bağlantıyı kesmek için barındırma sağlayıcısıyla işbirliği yaptı. Şirket, iç soruşturmaları aracılığıyla başka hiçbir sürümün veya resmi dağıtım kanalının etkilenmediğini doğruladı.
Bu kullanıcılar için ne anlama geliyor?
Maruz kalma penceresi sırasında paketi indiren geliştiricilerin, sistemlerinde svc-telemetry adını taşıyan şüpheli bir SSH anahtarı aramaları ve etkilenen cihazları izole etmek, sırları ve erişim hesaplarını değiştirmek, aktif oturumları iptal etmek ve sistemin herhangi bir kötü amaçlı kalıntı içermediğinden emin olmak için çalışma ortamını güvenli ve güvenilir yedeklemelerden tamamen yeniden oluşturmak gibi acil adımlar atmaları tavsiye edilmektedir.