Cuộc tấn công phần mềm độc hại vào Cửa hàng tiện ích Cursor ảnh hưởng đến lên đến 5.000 người dùng

Beating AI Tin tức nhanh, Cursor tiết lộ vào ngày 29 tháng 10, phiên bản Claude Code 2.1.313 bị chỉnh sửa độc hại đã xuất hiện trên thị trường tiện ích mở rộng. Gói cài đặt này không do Anthropic tạo ra và đã được đăng lên cửa hàng trong khoảng 11 giờ. Cursor ước tính có tối đa 5.000 người dùng bị ảnh hưởng và sẽ liên hệ trực tiếp với họ. Nhóm nghiên cứu bảo mật OpenSourceMalware phân tích phát hiện kẻ tấn công đã chèn 66 dòng mã độc vào trước mã bình thường của tiện ích. Khi trình soạn thảo tải tiện ích này, mã độc sẽ được thực thi, ngay cả khi người dùng không tương tác với Claude. Mã độc thu thập thông tin như tên máy tính, email Git, IP công cộng, đồng thời tự động thêm khóa của kẻ tấn công vào danh sách ủy quyền SSH. Sau đó, nó cố gắng kích hoạt đăng nhập từ xa, kết nối với máy chủ của kẻ tấn công thông qua tunnel SSH ngược và thiết lập tác vụ nền chạy tự động khi khởi động, cố gắng kết nối lại mỗi khoảng 60 giây. Tuy nhiên, mã tấn công chứa lỗi. Cursor cho biết hầu hết máy Mac và Windows không cấp quyền quản trị cần thiết để kích hoạt dịch vụ SSH, do đó kẻ tấn công thường không thể đăng nhập qua tunnel. Nhưng việc thêm khóa độc hại, cài đặt script nền và gửi thông tin thiết bị vẫn có thể thành công. Các máy đã kích hoạt dịch vụ SSH không thể coi là an toàn. Cursor đã gỡ bỏ phiên bản độc hại, tạm thời đóng toàn bộ thị trường tiện ích mở rộng và hỗ trợ vô hiệu hóa máy chủ của kẻ tấn công. Người dùng bị ảnh hưởng cần kiểm tra tệp ủy quyền SSH xem có tồn tại `svc-telemetry` hay không và sử dụng script sửa chữa chính thức để dọn dẹp. Việc gỡ cài đặt tiện ích mở rộng là chưa đủ, vì backdoor nền có thể vẫn đang chạy.