VS Code-ի պաշտոնական Claude Code հավելվածում, որը մատակարարվել է Anthropic-ի կողմից և ներբեռնվել է 63 միլիոն անգամ, հայտնաբերվել է կոտրված կոդ։ Հարձակվողներին հաջողվել է Open-VSX գրացուցակում տեղադրել anthropic.claude-code@2.1.313 թողարկումը, որը պարունակում էր վնասակար կոդ՝ օգտատիրոջ համակարգ հեռակա մուտք գործելու համար։ Փաթեթի վնասակար տարբերակի հրապարակումը Microsoft-ի պահոցում դեռևս հաստատված չէ, սակայն դրա համար նաև նախազգուշացման զեկույց է ստեղծվել։ Ազդեցված տարբերակը հեռացվել է Open-VSX պահոցից, և հրապարակվել է ուղղիչ թողարկում՝ 2.1.314-ը։
Վնասակար բաղադրիչները բեռնելու կոդը ավելացվել է extension.js ֆայլի սկզբում և ակտիվացվել է ընդլայնման նախնականացման ժամանակ՝ VS կոդի գործարկումից հետո (օգտատիրոջ փոխազդեցությունը Claude-ի հետ պարտադիր չէր վնասակար կոդի ակտիվացման համար): Վնասակար գործունեությունը բաղկացած էր ~/.ssh գրացուցակի ստեղծումից և ssh-ed25519 հանրային բանալու՝ «svc-telemetry» անոտացիայով ավելացումից ~/.ssh/authorized_keys ֆայլին: Դրանից հետո ստուգվել է sshd ֆոնային պրոցեսի առկայությունը: Linux и macOSև SSH սերվերի ակտիվացում, եթե այն բացակայում է։ Windows OpenSSH-ը տեղադրվել է PowerShell-ի միջոցով։
Այնուհետև վնասակար կոդը պահպանել է անձնական բանալին «.stk_*» անունով ժամանակավոր ֆայլում և ստեղծել է հակադարձ թունել դեպի արտաքին SSH սերվեր՝ 134.209.82.225, հեռակա մուտքի համար՝ ssh գործարկելով «-N -R '*:0:localhost:22'» տարբերակներով: Կապը թարմացվել է յուրաքանչյուր 60 վայրկյանը մեկ: Թունելը թարմացնելու և տվյալները արտաքին սերվերներին ուղարկելու սկրիպտներ սերվերներ պահպանվում է ~/.config/.smt և ~/.config/.smtk ֆայլերում: Պարբերաբար գործարկվում է Linux կարգավորվել է cron-ի միջոցով, macOS LaunchAgent-ի միջոցով (com.apple.sysmond.plist) և Windows SysMon-ի և ավտոմատ մեկնարկի միջոցով։
Բացի այդ, համակարգը հավաքագրել է տեղեկություններ հոսթի անվան, գրանցված օգտատերերի, օպերացիոն համակարգի, գլխավոր գրացուցակի, էլ. փոստի (git config --global user.email-ի միջոցով) և միջավայրի փոփոխականների մասին, որոնց անունները պարունակում են KEY, TOKEN, SECRET, PASS, AWS և GCP բառերը: Տվյալները JSON ձևաչափով ուղարկվել են http://134.209.82.225:8099/beacon URL հասցեին:
VS Code-ի համար նախատեսված Claude Code հավելման օգտատերերին խորհուրդ է տրվում ստուգել իրենց համակարգերը՝ 2.1.313 վնասակար տարբերակի տեղադրման համար: Համակարգի վնասման ցուցիչների թվում են հետևյալ ֆայլերի տեսքը՝ ~/.config/.smt, ~/.config/.smtk, ~/Library/LaunchAgents/com.apple.sysmond.plist, ${TMPDIR}/.stk_*, ~/.config/smt.cmd,
~/.config/smtk, SysMon և sysmon.cmd ֆայլերը, ինչպես նաև 22 և 8099 պորտերին մուտք գործելու հնարավորություն։ IP հասցե 134.209.82.225, և HTTP/HTTPS հարցումներ ուղարկել ifconfig.me և api.ipify.org հոսթերին։
Անհասկանալի է, թե ինչպես են հարձակվողներին հաջողվել վնասակար կոդ տեղադրել հավելվածի մեջ, բայց ենթադրվում է, որ Anthropic-ի աշխատակցի հաշիվը, որը սպասարկում էր փաթեթը, կարող է կոտրված լինել, կամ էլ շահագործվել է թողարկումների հրապարակման համակարգի անվտանգության թերությունը։
Source: opennet.ru
