حادثة برامج خبيثة في متجر ملحقات Cursor تؤثر على ما يصل إلى 5,000 مستخدم

ME AI رسالة، أخبار Beating AI، كشف Cursor: في 29 أكتوبر، ظهر إصدار مُشوَّه من Claude Code 2.1.313 في سوق الإضافات الخاص به. هذا الملف التثبيتي لم يُنتج من قبل Anthropic، وتم رفعه إلى المتجر لمدة حوالي 11 ساعة. وتقدير Cursor أن ما يصل إلى 5000 مستخدم قد تأثروا، وسيتواصلون معهم مباشرة. وجدت مؤسسة أبحاث الأمن OpenSourceMalware أن المهاجمين أضافوا 66 سطرًا من التعليمات البرمجية الخبيثة قبل الكود الطبيعي للإضافة. وعند تحميل المحرر لهذه الإضافة، يتم تنفيذ الكود الخبيث حتى دون تفاعل المستخدم مع Claude. ويجمع الكود الخبيث معلومات مثل اسم الكمبيوتر، وعنوان البريد الإلكتروني لـ Git، وعنوان IP العام، كما يضيف بشكل سري مفتاح المهاجم إلى قائمة التفويض SSH. ثم يحاول تمكين تسجيل الدخول عن بُعد، وربط خادم المهاجم عبر قناة SSH عكسية، وتعيين مهمة خلفية تعمل عند التشغيل لمحاولة إعادة الاتصال كل حوالي 60 ثانية. ومع ذلك، تحتوي كود الهجوم على أخطاء. وأفاد Cursor أن معظم أجهزة Mac وWindows لم تمنحه الصلاحيات الإدارية المطلوبة لتمكين خدمة SSH، وبالتالي عادةً لا يستطيع المهاجمون تسجيل الدخول عبر القناة. لكن إضافة المفتاح الخبيث، وتثبيت النص الخلفي، وإرسال معلومات الجهاز قد تنجح رغم ذلك. لا يمكن اعتبار الأجهزة التي تم تمكين خدمة SSH عليها آمنة بسبب هذا الهجوم. وقد أزال Cursor الإصدار الخبيث، وأغلق سوق الإضافات بالكامل مؤقتًا، وساعد في إيقاف خوادم المهاجمين. ويجب على المستخدمين المتأثرين التحقق من وجود `svc-telemetry` في ملف تفويض SSH، واستخدام نص الإصلاح الرسمي لتنظيف النظام. إزالة الإضافة وحدها غير كافية، فقد يستمر الباب الخلفي الخبيث في العمل. (المصدر: MLion)