یک نسخه آلوده از افزونه Claude Code متعلق به شرکت Anthropic که از طریق مارکت‌پلیس Cursor توزیع شده بود، تلاش کرد تا یک بک‌دور (Backdoor) پایدار از نوع SSH بر روی سیستم‌های توسعه‌دهندگان نصب کند. این حمله پتانسیل دسترسی از راه دور به سیستم‌هایی را دارد که حاوی کد منبع (Source Code)، اعتبارنامه‌ها (Credentials) و سایر اطلاعات حساس هستند.
شرکت Cursor اعلام کرد که نسخه‌های آلوده 2.1.312 و 2.1.313 پس از شناسایی، از مارکت‌پلیس خود حذف شده‌اند. این نسخه‌های مخرب به مدت حدود ۱۱ ساعت در تاریخ ۲۹ اکتبر در دسترس بودند. طبق اعلام Anthropic، این حادثه ناشی از نفوذ به سیستم‌های خود شرکت یا لپ‌تاپ‌های کارکنان نبوده، بلکه یک عامل تهدید (Threat Actor) با استفاده از دسترسی به مارکت‌پلیس Cursor، نسخه تغییریافته افزونه را منتشر کرده است.
جزئیات فنی و مکانیزم حمله
بررسی‌های امنیتی نشان داد که کد مخرب در ابتدای فایل JavaScript افزونه قرار گرفته و به محض بارگذاری، پیش از اجرای کدهای اصلی، فعال می‌شود. این بدافزار تلاش می‌کرد تا اقدامات زیر را انجام دهد:
- افزودن یک کلید SSH تحت کنترل مهاجم به فایل
authorized_keysکاربر. - فعال‌سازی دسترسی SSH محلی (Local SSH Access).
- ایجاد یک تونل معکوس (Reverse Tunnel) به سروری که تحت کنترل مهاجم است.
علاوه بر این، بدافزار اطلاعاتی نظیر نام سیستم، نام کاربری، سیستم‌عامل، دایرکتوری‌های کاری و ایمیل‌های Git را جمع‌آوری می‌کرد. همچنین، این کد به دنبال نام متغیرهای محیطی (Environment Variables) حاوی کلماتی مانند KEY، TOKEN، SECRET، AWS یا GCP بود تا اطلاعات حساس را شناسایی کند.
توصیه‌های امنیتی و مقابله
کارشناسان هشدار می‌دهند که تنها حذف افزونه برای پاکسازی سیستم کافی نیست، زیرا بدافزار اسکریپت‌هایی را در خارج از دایرکتوری نصب افزونه قرار داده تا پایداری (Persistence) خود را حفظ کند. اقدامات زیر برای تیم‌های امنیتی و توسعه‌دهندگان توصیه می‌شود:
- بررسی دقیق فایل‌های
authorized_keysدر سیستم‌های توسعه‌دهندگان برای یافتن کلیدهای ناشناخته. - چرخش (Rotation) فوری اعتبارنامه‌ها و کلیدهایی که احتمال در معرض خطر بودن آن‌ها وجود دارد.
- بررسی لاگ‌های سیستم برای شناسایی ورودهای غیرمجاز با استفاده از کلیدهای SSH مشکوک.
- بررسی اثرانگشت (Fingerprint) کلیدهای SSH برای اطمینان از اصالت آن‌ها.
این حادثه بار دیگر اهمیت مدیریت امنیت زنجیره تأمین (Supply Chain Security) در مارکت‌پلیس‌های افزونه و ابزارهای توسعه را برجسته می‌کند.
