Découverte Beating AI : Cursor révèle qu'une version malveillante de Claude Code 2.1.313 a été publiée sur son marché d'extensions le 29 octobre. Ce package n'a pas été créé par Anthropic et a été disponible dans le magasin pendant environ 11 heures. Cursor estime que jusqu'à 5 000 utilisateurs ont été concernés et les contactera directement. L'analyse de l'organisme de recherche en sécurité OpenSourceMalware a révélé que l'attaquant a inséré 66 lignes de code malveillant avant le code normal de l'extension. Ce code s'exécute dès le chargement de l'extension dans l'éditeur, sans même que l'utilisateur n'interagisse avec Claude. Le code malveillant collecte des informations telles que le nom de l'ordinateur, l'adresse e-mail Git et l'IP publique, tout en ajoutant secrètement la clé de l'attaquant à la liste d'autorisation SSH. Il tente ensuite d'activer la connexion à distance, d'établir une tunnel SSH inversée vers le serveur de l'attaquant, et de configurer une tâche en arrière-plan pour redémarrage automatique, tentant de se reconnecter toutes les 60 secondes environ. Cependant, le code d'attaque contient des erreurs. Cursor indique que la plupart des ordinateurs Mac et Windows n'ont pas accordé les autorisations administrateur nécessaires pour activer le service SSH, empêchant ainsi généralement l'attaquant de se connecter via le tunnel. Toutefois, l'ajout de la clé malveillante, l'installation du script en arrière-plan et l'envoi des informations de l'appareil peuvent toujours réussir. Les ordinateurs ayant déjà activé le service SSH ne peuvent pas être considérés comme sûrs pour autant. Cursor a retiré la version malveillante, fermé temporairement tout le marché d'extensions et aidé à fermer les serveurs de l'attaquant. Les utilisateurs concernés doivent vérifier si `svc-telemetry` figure dans leur fichier d'autorisation SSH et utiliser le script de correction officiel pour nettoyer leur système. Désinstaller simplement l'extension ne suffit pas : le backdoor en arrière-plan peut continuer à fonctionner.
Attaque par malware sur le Cursor Extension Store, jusqu'à 5000 utilisateurs affectés
MarsBitPartager
Résumé
Cursor a révélé qu'une version malveillante de l'extension Claude Code 2.1.313 a été téléchargée sur son magasin le 29 octobre, exposant potentiellement jusqu'à 5 000 utilisateurs à une attaque Sybil. Ce paquet non autorisé, non développé par Anthropic, est resté dans le magasin pendant 11 heures avant d'être supprimé. Les attaquants ont intégré 66 lignes de code pour collecter des données sur l'appareil, ajouter des clés SSH et activer l'accès à distance. Cursor a fermé le magasin et détruit le serveur de l'attaquant. Les utilisateurs sont invités à rechercher la clé `svc-telemetry` et à exécuter le script de nettoyage. Cet incident met en lumière les risques tels que les attaques par réentrance dans les écosystèmes open source.
Source:Afficher l'original
Clause de non-responsabilité : les informations sur cette page peuvent avoir été obtenues auprès de tiers et ne reflètent pas nécessairement les points de vue ou opinions de KuCoin. Ce contenu est fourni à titre informatif uniquement, sans aucune représentation ou garantie d’aucune sorte, et ne doit pas être interprété comme un conseil en investissement. KuCoin ne sera pas responsable des erreurs ou omissions, ni des résultats résultant de l’utilisation de ces informations.
Les investissements dans les actifs numériques peuvent être risqués. Veuillez évaluer soigneusement les risques d’un produit et votre tolérance au risque en fonction de votre propre situation financière. Pour plus d’informations, veuillez consulter nos conditions d’utilisation et divulgation des risques.