Anthropic-ийн нийлүүлж, 63 сая удаа татсан VS Code-ийн албан ёсны Claude Code нэмэлтэд алдаа илэрсэн байна. Халдагчид хэрэглэгчийн системд алсаас хандах хортой код агуулсан anthropic.claude-code@2.1.313 хувилбарыг Open-VSX санд байршуулж чадсан байна. Microsoft репозиторт багцын хортой хувилбарыг нийтэлсэн нь батлагдаагүй байгаа ч анхааруулах тайланг мөн үүсгэсэн байна. Нөлөөлөлд өртсөн хувилбарыг одоо Open-VSX репозитороос устгасан бөгөөд 2.1.314 залруулах хувилбарыг нийтэлсэн байна.
Хортой бүрэлдэхүүн хэсгүүдийг ачаалах кодыг extension.js файлын эхэнд нэмсэн бөгөөд VS кодыг ажиллуулсны дараа өргөтгөлийг эхлүүлэх үед идэвхжүүлсэн (хортой кодыг идэвхжүүлэхийн тулд хэрэглэгчийн Клодтой харилцах шаардлагагүй байсан). Хортой үйлдэл нь ~/.ssh санг үүсгэж, "svc-telemetry" гэсэн тэмдэглэгээтэй ssh-ed25519 нийтийн түлхүүрийг ~/.ssh/authorized_keys файлд нэмэхээс бүрдсэн. Үүний дараа sshd арын процесс байгаа эсэхийг шалгасан. Linux и macOS, мөн SSH сервер байхгүй бол идэвхжүүлэх. Windows OpenSSH-г PowerShell-ээр дамжуулан суулгасан.
Хортой код нь хувийн түлхүүрийг ".stk_*" нэртэй түр файлд хадгалж, "-N -R '*:0:localhost:22'" сонголттой ssh ажиллуулснаар алсын зайнаас хандахын тулд гадаад SSH сервер 134.209.82.225 руу урвуу туннел үүсгэсэн. Холболт 60 секунд тутамд шинэчлэгддэг байв. Туннелийг шинэчлэх болон гадаад серверүүд рүү өгөгдөл илгээх скриптүүд серверүүд ~/.config/.smt болон ~/.config/.smtk файлуудад хадгалагдсан. Үе үе ажиллуулж байна Linux cron-оор дамжуулан тохируулсан macOS LaunchAgent (com.apple.sysmond.plist)-ээр дамжуулан, мөн дотор нь Windows SysMon болон автоматаар эхлүүлэх горимоор дамжуулан.
Түүнчлэн, систем нь хостын нэр, бүртгэлтэй хэрэглэгчид, үйлдлийн систем, гэрийн лавлах, имэйл (git config --global user.email-ээр дамжуулан) болон KEY, TOKEN, SECRET, PASS, AWS, болон GCP гэсэн үгсийг агуулсан орчны хувьсагчдын талаарх мэдээллийг цуглуулсан. Өгөгдлийг JSON форматаар http://134.209.82.225:8099/beacon URL хаяг руу илгээсэн.
VS Code-д зориулсан Claude Code нэмэлтийн хэрэглэгчдэд хортой хувилбар 2.1.313 суулгасан эсэхийг системээ шалгахыг зөвлөж байна. Системийн эвдрэлийн шинж тэмдгүүдэд ~/.config/.smt, ~/.config/.smtk, ~/Library/LaunchAgents/com.apple.sysmond.plist, ${TMPDIR}/.stk_*, ~/.config/smt.cmd файлууд гарч ирэх зэрэг орно.
~/.config/smtk, SysMon болон sysmon.cmd, мөн 22 болон 8099 портууд руу хандах боломжтой IP хаяг 134.209.82.225, мөн HTTP/HTTPS хүсэлтийг ifconfig.me болон api.ipify.org хостууд руу илгээж байна.
Халдагчид нэмэлт хэрэгсэлд хортой кодыг хэрхэн оруулсан нь тодорхойгүй байгаа ч багцыг хариуцаж байсан Anthropic-ийн ажилтны хаягийг хакердсан эсвэл хувилбар нийтлэх системийн аюулгүй байдлын алдааг ашигласан байж болзошгүй гэж үзэж байна.
Эх сурвалж: opennet.ru
