Anthropic компаниясы ұсынған және 63 миллион рет жүктелген VS Code ресми Claude Code қосымшасында бұзушылық анықталды. Шабуылдаушылар пайдаланушы жүйесіне қашықтан кіруге арналған зиянды кодты қамтитын anthropic.claude-code@2.1.313 нұсқасын Open-VSX каталогына орналастыра алды. Пакеттің зиянды нұсқасының Microsoft репозиторийінде жарияланғаны расталған жоқ, бірақ ол үшін ескерту есебі де жасалды. Зақымдалған нұсқа енді Open-VSX репозиторийінен жойылды және 2.1.314 түзету нұсқасы жарияланды.
Зиянды компоненттерді жүктеу коды extension.js файлының басына қосылды және VS коды іске қосылғаннан кейін кеңейтімді инициализациялау кезінде белсендірілді (зиянды кодты белсендіру үшін пайдаланушының Клодпен өзара әрекеттесуі қажет емес еді). Зиянды әрекет ~/.ssh каталогын жасаудан және "svc-telemetry" аннотациясымен ssh-ed25519 ашық кілтін ~/.ssh/authorized_keys файлына қосудан тұрды. Осыдан кейін, sshd фондық процесінің бар-жоғын тексеру жүргізілді. Linux и macOSжәне SSH сервері жоқ болса, оны белсендіру. Windows OpenSSH PowerShell арқылы орнатылды.
Зиянды код жеке кілтті ".stk_*" деп аталатын уақытша файлға сақтап, "-N -R '*:0:localhost:22'" опцияларымен ssh іске қосу арқылы қашықтан қатынау үшін сыртқы SSH серверіне 134.209.82.225 кері туннель орнатты. Қосылым әр 60 секунд сайын жаңартылып отырды. Туннельді жаңарту және деректерді сыртқы серверлерге жіберуге арналған сценарийлер серверлер ~/.config/.smt және ~/.config/.smtk файлдарында сақталды. Мерзімді түрде іске қосылады Linux cron арқылы конфигурацияланған, ішінде macOS LaunchAgent (com.apple.sysmond.plist) арқылы және ішінде Windows SysMon және автостарт арқылы.
Сонымен қатар, жүйе хост атауы, тіркелген пайдаланушылар, операциялық жүйе, үй каталогы, электрондық пошта (git config --global user.email арқылы) және KEY, TOKEN, SECRET, PASS, AWS және GCP сөздерін қамтитын атаулары бар орта айнымалылары туралы ақпарат жинады. Деректер JSON форматында http://134.209.82.225:8099/beacon URL мекенжайына жіберілді.
VS Code үшін Claude Code қосымшасын пайдаланушыларға зиянды 2.1.313 нұсқасының орнатылғанын тексеру ұсынылады. Жүйенің бұзылуының белгілеріне ~/.config/.smt, ~/.config/.smtk, ~/Library/LaunchAgents/com.apple.sysmond.plist, ${TMPDIR}/.stk_*, ~/.config/smt.cmd файлдарының пайда болуы жатады.
~/.config/smtk, SysMon және sysmon.cmd, сондай-ақ 22 және 8099 порттарына кіру мүмкіндігі бар. IP мекенжайы 134.209.82.225 және HTTP/HTTPS сұрауларын ifconfig.me және api.ipify.org хосттарына жіберу.
Шабуылдаушылардың қосымшаға зиянды кодты қалай енгізгені белгісіз, бірақ пакетті басқаратын Anthropic қызметкерінің аккаунты бұзылған немесе шығарылымды жариялау жүйесіндегі қауіпсіздік кемшілігі пайдаланылған болуы мүмкін деп есептеледі.
Ақпарат көзі: opennet.ru
