Anthropic tərəfindən təqdim edilən və 63 milyon dəfə yüklənən VS Code üçün rəsmi Claude Code əlavəsində bir kompromis aşkar edilib. Hücumçular istifadəçi sisteminə uzaqdan giriş üçün zərərli kod ehtiva edən anthropic.claude-code@2.1.313 buraxılışını Open-VSX qovluğuna yerləşdirməyi bacarıblar. Paketin zərərli versiyasının Microsoft repozitoriyasında dərc edilməsi təsdiqlənməyib, lakin onun üçün xəbərdarlıq hesabatı da yaradılıb. Təsirə məruz qalan versiya artıq Open-VSX repozitoriyasından silinib və 2.1.314 düzəldici buraxılışı dərc edilib.
Zərərli komponentləri yükləmək üçün kod extension.js faylının əvvəlinə əlavə edildi və VS Kodu işə salındıqdan sonra genişləndirmənin başlanğıcında aktivləşdirildi (zərərli kodun aktivləşdirilməsi üçün istifadəçinin Claude ilə qarşılıqlı əlaqəsi tələb olunmurdu). Zərərli fəaliyyət ~/.ssh qovluğunu yaratmaqdan və "svc-telemetry" annotasiyası ilə ssh-ed25519 açıq açarının ~/.ssh/authorized_keys faylına əlavə edilməsindən ibarət idi. Bundan sonra, sshd fon prosesinin mövcudluğu yoxlanıldı. Linux и macOSvə SSH serveri yoxdursa, onun aktivləşdirilməsi. Windows OpenSSH PowerShell vasitəsilə quraşdırılıb.
Zərərli kod daha sonra gizli açarı ".stk_*" adlı müvəqqəti faylda saxladı və "-N -R '*:0:localhost:22'" seçimləri ilə ssh-i işə salmaqla uzaqdan giriş üçün xarici SSH server 134.209.82.225-ə tərs tunel qurdu. Bağlantı hər 60 saniyədə yeniləndi. Tuneli yeniləmək və məlumatları xarici serverlərə göndərmək üçün skriptlər serverlər ~/.config/.smt və ~/.config/.smtk fayllarında saxlanılır. Dövri olaraq işə salınır Linux cron vasitəsilə konfiqurasiya edilib macOS LaunchAgent (com.apple.sysmond.plist) vasitəsilə və Windows SysMon və avtomatik başlatma vasitəsilə.
Bundan əlavə, sistem host adı, qeydiyyatdan keçmiş istifadəçilər, əməliyyat sistemi, ev qovluğu, e-poçt (git config --global user.email vasitəsilə) və KEY, TOKEN, SECRET, PASS, AWS və GCP sözlərini ehtiva edən mühit dəyişənləri haqqında məlumat topladı. Məlumatlar JSON formatında http://134.209.82.225:8099/beacon URL ünvanına göndərildi.
VS Code üçün Claude Code əlavəsinin istifadəçilərinə zərərli 2.1.313 versiyasının quraşdırılması üçün sistemlərini yoxlamaları tövsiyə olunur. Sistemin pozulmasının göstəricilərinə ~/.config/.smt, ~/.config/.smtk, ~/Library/LaunchAgents/com.apple.sysmond.plist, ${TMPDIR}/.stk_*, ~/.config/smt.cmd fayllarının görünüşü daxildir.
~/.config/smtk, SysMon və sysmon.cmd, eləcə də 22 və 8099 portlarına giriş imkanı IP ünvanı 134.209.82.225 və HTTP/HTTPS sorğularını ifconfig.me və api.ipify.org hostlarına göndərir.
Təcavüzkarların əlavəyə zərərli kodu necə daxil etdiyi dəqiq məlum deyil, lakin paketi saxlayan Anthropic işçisinin hesabının haker hücumuna məruz qaldığı və ya buraxılış sistemindəki təhlükəsizlik qüsurundan istifadə edildiyi güman edilir.
Mənbə: opennet.ru
