Anthropic тарабынан берилген жана 63 миллион жолу жүктөлүп алынган VS Code үчүн расмий Claude Code кошумчасында компромисс табылды. Чабуулчулар колдонуучунун системасына алыстан кирүү үчүн зыяндуу кодду камтыган anthropic.claude-code@2.1.313 релизин Open-VSX каталогуна жайгаштырууга жетишишти. Пакеттин зыяндуу версиясынын Microsoft репозиторийинде жарыяланганы тастыкталган жок, бирок ал үчүн эскертүү отчету да түзүлдү. Жабыркаган версия эми Open-VSX репозиторийинен алынып салынды жана 2.1.314 түзөтүүчү релизи жарыяланды.
Зыяндуу компоненттерди жүктөө коду extension.js файлынын башына кошулуп, VS Code ишке киргизилгенден кийин кеңейтүүнү инициализациялоодо активдештирилген (зыяндуу кодду активдештирүү үчүн колдонуучунун Клод менен өз ара аракеттенүүсү талап кылынган эмес). Зыяндуу аракет ~/.ssh каталогун түзүүдөн жана ~/.ssh/authorized_keys файлына "svc-telemetry" аннотациясы менен ssh-ed25519 ачык ачкычын кошуудан турган. Андан кийин, sshd фон процессинин бар-жогун текшерүү жүргүзүлдү. Linux и macOSжана эгер SSH сервери жок болсо, аны активдештирүү. Windows OpenSSH PowerShell аркылуу орнотулган.
Андан кийин зыяндуу код жеке ачкычты ".stk_*" деп аталган убактылуу файлга сактап, "-N -R '*:0:localhost:22'" параметрлери менен ssh иштетип, алыстан кирүү үчүн тышкы SSH серверине 134.209.82.225 тескери туннель орноткон. Байланыш ар бир 60 секунд сайын жаңыртылып турган. Туннелди жаңыртуу жана маалыматтарды тышкы серверлерге жөнөтүү үчүн скрипттер серверлер ~/.config/.smt жана ~/.config/.smtk файлдарында сакталган. Мезгил-мезгили менен ишке киргизүү Linux cron аркылуу конфигурацияланган, macOS LaunchAgent (com.apple.sysmond.plist) аркылуу жана ичинде Windows SysMon жана автостарт аркылуу.
Мындан тышкары, система хосттун аталышы, катталган колдонуучулар, операциялык система, үй каталогу, электрондук почта (git config --global user.email аркылуу) жана KEY, TOKEN, SECRET, PASS, AWS жана GCP сөздөрүн камтыган аталыштары бар чөйрө өзгөрмөлөрү жөнүндө маалымат чогулткан. Маалыматтар JSON форматында http://134.209.82.225:8099/beacon URL дарегине жөнөтүлгөн.
VS Code үчүн Claude Code кошумчасынын колдонуучуларына системаларын зыяндуу 2.1.313 версиясынын орнотулгандыгын текшерүү сунушталат. Системанын бузулушунун белгилерине ~/.config/.smt, ~/.config/.smtk, ~/Library/LaunchAgents/com.apple.sysmond.plist, ${TMPDIR}/.stk_*, ~/.config/smt.cmd файлдарынын пайда болушу кирет.
~/.config/smtk, SysMon жана sysmon.cmd, ошондой эле 22 жана 8099 портторуна кирүү мүмкүнчүлүгү IP дареги 134.209.82.225 жана HTTP/HTTPS сурамдарын ifconfig.me жана api.ipify.org хостторуна жөнөтүү.
Чабуулчулар кошумчага зыяндуу кодду кантип киргизгени так белгисиз, бирок пакетти тейлеген Anthropic кызматкеринин аккаунту бузулган же релиздерди жарыялоо системасындагы коопсуздук кемчилиги пайдаланылган болушу мүмкүн деп болжолдонууда.
Source: opennet.ru
