Атака вредоносного ПО на магазин расширений Cursor затрагивает до 5000 пользователей

Beating AI Новости: Cursor сообщил, что 29 октября в его расширениях был обнаружен вредоносный вариант Claude Code 2.1.313, который был изменен злоумышленниками. Этот установочный файл не был создан Anthropic и находился в магазине около 11 часов. Cursor оценивает, что пострадало до 5000 пользователей, и напрямую свяжется с ними. Анализ от исследовательской группы OpenSourceMalware показал, что злоумышленники добавили 66 строк вредоносного кода перед нормальным кодом плагина. Этот код выполняется при загрузке редактора, даже если пользователь не взаимодействует с Claude. Вредоносный код собирает информацию о имени компьютера, почтовом адресе Git и публичном IP-адресе, а также тайно добавляет ключи злоумышленника в список авторизованных SSH-ключей. Затем он пытается включить удаленный доступ, установить обратный SSH-туннель к серверу злоумышленника и настроить фоновую задачу для автозапуска при загрузке системы, которая каждые ~60 секунд пытается восстановить соединение. Однако сам вредоносный код содержит ошибки. Cursor отметил, что большинство компьютеров Mac и Windows не предоставили ему необходимых прав администратора для включения службы SSH, поэтому злоумышленникам обычно не удавалось подключиться через туннель. Тем не менее, добавление вредоносного ключа, установка фонового скрипта и отправка информации об устройстве все еще могут быть успешными. Компьютеры, на которых служба SSH уже включена, не могут считаться безопасными. Cursor уже удалил вредоносную версию, временно закрыл весь рынок расширений и помог остановить серверы злоумышленников. Пострадавшим пользователям необходимо проверить файл авторизованных SSH-ключей на наличие записи `svc-telemetry` и очистить систему с помощью официального исправляющего скрипта. Простого удаления расширения недостаточно — фоновый бэкдор может продолжать работать.