আক্রমণকারীরা ভিএস কোডের অফিসিয়াল ক্লড কোড অ্যাড-অনে ক্ষতিকারক কোড প্রবেশ করাতে সক্ষম হয়েছিল।

অ্যানথ্রোপিক কর্তৃক সরবরাহকৃত এবং ৬৩ মিলিয়ন বার ডাউনলোডকৃত ভিএস কোডের অফিসিয়াল ক্লড কোড অ্যাড-অনে একটি নিরাপত্তা ত্রুটি শনাক্ত করা হয়েছে। আক্রমণকারীরা ওপেন-ভিএসএক্স ডিরেক্টরিতে anthropic.claude-code@2.1.313 রিলিজটি স্থাপন করতে সক্ষম হয়েছিল, যেটিতে ব্যবহারকারীর সিস্টেমে রিমোট অ্যাক্সেসের জন্য ক্ষতিকর কোড ছিল। মাইক্রোসফট রিপোজিটরিতে প্যাকেজটির ক্ষতিকর সংস্করণটির প্রকাশ নিশ্চিত করা হয়নি, তবে এর জন্য একটি সতর্কীকরণ প্রতিবেদনও তৈরি করা হয়েছে। ক্ষতিগ্রস্ত সংস্করণটি এখন ওপেন-ভিএসএক্স রিপোজিটরি থেকে সরিয়ে ফেলা হয়েছে এবং একটি সংশোধনমূলক রিলিজ, 2.1.314, প্রকাশ করা হয়েছে।

ক্ষতিকারক উপাদান লোড করার কোডটি extension.js ফাইলের শুরুতে যোগ করা হয়েছিল এবং VS Code চালু করার পর এক্সটেনশনটি চালু হওয়ার সাথে সাথেই এটি সক্রিয় হয়ে যেত (ক্ষতিকর কোডটি সক্রিয় হওয়ার জন্য ব্যবহারকারীর Claude-এর সাথে কোনো ইন্টারঅ্যাকশনের প্রয়োজন ছিল না)। ক্ষতিকারক কার্যকলাপটির মধ্যে ছিল ~/.ssh ডিরেক্টরি তৈরি করা এবং ~/.ssh/authorized_keys ফাইলে "svc-telemetry" অ্যানোটেশনসহ ssh-ed25519 পাবলিক কী-টি যোগ করা। এরপর, sshd ব্যাকগ্রাউন্ড প্রসেসটির উপস্থিতি যাচাই করা হয়েছিল। Linux и macOSএবং SSH সার্ভারটি অনুপস্থিত থাকলে তা সক্রিয় করা। Windows পাওয়ারশেলের মাধ্যমে ওপেনএসএসএইচ ইনস্টল করা হয়েছিল।

এরপর ক্ষতিকারক কোডটি প্রাইভেট কী-টি ".stk_*" নামের একটি টেম্পোরারি ফাইলে সেভ করে এবং "-N -R '*:0:localhost:22'" অপশনসহ ssh চালিয়ে এক্সটার্নাল SSH সার্ভার 134.209.82.225-এর সাথে রিমোট অ্যাক্সেসের জন্য একটি রিভার্স টানেল তৈরি করে। প্রতি ৬০ সেকেন্ড পর পর কানেকশনটি রিনিউ করা হতো। টানেল আপডেট করার এবং এক্সটার্নাল সার্ভারে ডেটা পাঠানোর জন্য স্ক্রিপ্টগুলো তৈরি করা হয়েছিল। সার্ভার ~/.config/.smt এবং ~/.config/.smtk ফাইলগুলিতে সংরক্ষিত। পর্যায়ক্রমিক লঞ্চ Linux ক্রনের মাধ্যমে কনফিগার করা হয়েছে, macOS LaunchAgent (com.apple.sysmond.plist) এর মাধ্যমে, এবং এতে Windows SysMon এবং autostart-এর মাধ্যমে।

এছাড়াও, সিস্টেমটি হোস্টনেম, নিবন্ধিত ব্যবহারকারী, অপারেটিং সিস্টেম, হোম ডিরেক্টরি, ইমেল (git config --global user.email-এর মাধ্যমে), এবং KEY, TOKEN, SECRET, PASS, AWS, ও GCP শব্দগুলো ধারণকারী নামের এনভায়রনমেন্ট ভেরিয়েবল সম্পর্কিত তথ্য সংগ্রহ করেছে। ডেটাটি JSON ফরম্যাটে http://134.209.82.225:8099/beacon ইউআরএল-এ পাঠানো হয়েছিল।

ভিএস কোডের জন্য ক্লড কোড অ্যাড-অন ব্যবহারকারীদের তাদের সিস্টেমে ক্ষতিকারক সংস্করণ ২.১.৩১৩ ইনস্টল হয়েছে কিনা তা পরীক্ষা করার পরামর্শ দেওয়া হচ্ছে। সিস্টেম ক্ষতিগ্রস্ত হওয়ার লক্ষণগুলোর মধ্যে রয়েছে ~/.config/.smt, ~/.config/.smtk, ~/Library/LaunchAgents/com.apple.sysmond.plist, ${TMPDIR}/.stk_*, ~/.config/smt.cmd ফাইলগুলোর উপস্থিতি।
~/.config/smtk, SysMon এবং sysmon.cmd, সেইসাথে পোর্ট 22 এবং 8099-এ প্রবেশাধিকার আইপি ঠিকানা 134.209.82.225, এবং ifconfig.me ও api.ipify.org হোস্টগুলিতে HTTP/HTTPS অনুরোধ পাঠানো হচ্ছে।

আক্রমণকারীরা ঠিক কীভাবে অ্যাড-অনটিতে ক্ষতিকারক কোড প্রবেশ করাতে সক্ষম হয়েছিল তা স্পষ্ট নয়, তবে ধারণা করা হচ্ছে যে প্যাকেজটির রক্ষণাবেক্ষণকারী অ্যানথ্রোপিকের কোনো কর্মীর অ্যাকাউন্ট হ্যাক করা হয়ে থাকতে পারে, অথবা রিলিজ প্রকাশনা সিস্টেমের কোনো নিরাপত্তা ত্রুটিকে কাজে লাগানো হয়ে থাকতে পারে।

উত্স: opennet.ru