هجوم برمجيات خبيثة على متجر ملحقات Cursor يؤثر على ما يصل إلى 5000 مستخدم

كشفت Beating AI عن تحديث سريع: في 29 أكتوبر، كشف Cursor عن إصدار مُشوَّه من Claude Code 2.1.313 تم تزويره بشكل خبيث في سوق المُلحقات. لم يكن هذا الملف المثبت مُنشأً من قبل Anthropic، وتم نشره في المتجر لمدة حوالي 11 ساعة. يُقدّر Cursor أن ما يصل إلى 5000 مستخدم قد تأثروا، وسيتواصلون معهم مباشرةً. تحليل من قبل مؤسسة الأمن السيبراني OpenSourceMalware كشف أن المهاجمين أضافوا 66 سطرًا من التعليمات البرمجية الخبيثة قبل الكود الطبيعي للمُلحق. بمجرد تحميل المُلحق في المحرر، يتم تنفيذ الكود الخبيث حتى دون الحاجة إلى تفاعل المستخدم مع Claude. الكود الخبيث يقوم بجمع معلومات مثل اسم الكمبيوتر، بريد Git، والعنوان العام IP، كما يضيف بشكل سري مفتاح المهاجم إلى قائمة المفاتيح المُصرّح بها لـ SSH. ثم يحاول تمكين الوصول عن بُعد، وربط خادم المهاجم عبر قناة SSH عكسية، وتعيين مهمة خلفية تُشغّل تلقائيًا عند التشغيل، تحاول إعادة الاتصال كل 60 ثانية تقريبًا. ومع ذلك، تحتوي كود الهجوم على أخطاء. أوضح Cursor أن معظم أجهزة Mac وWindows لم تمنحه الصلاحيات الإدارية المطلوبة لتمكين خدمة SSH، وبالتالي عادةً لا يمكن للمهاجمين الدخول عبر القناة. لكن إضافة المفتاح الخبيث، وتثبيت النص الخلفي، وإرسال معلومات الجهاز لا تزال ممكنة. حتى الأجهزة التي لديها خدمة SSH مفعّلة بالفعل لا يمكن اعتبارها آمنة بسبب هذا التهديد. قام Cursor بإزالة الإصدار الخبيث، وأغلق سوق المُلحقات مؤقتًا، وساعد في إيقاف خوادم المهاجمين. يجب على المستخدمين المتضررين التحقق من ملف صلاحيات SSH للبحث عن `svc-telemetry`، واستخدام النص الإصلاحي الرسمي لتنظيف النظام. إزالة المُلحق وحده غير كافية، فقد يستمر الباب الخلفي الخبيث في العمل.