Anthropic မှ ပံ့ပိုးပေးပြီး အကြိမ်ရေ ၆၃ သန်း ဒေါင်းလုဒ်လုပ်ထားသော VS Code အတွက် တရားဝင် Claude Code add-on တွင် ခိုးယူမှုတစ်ခုကို တွေ့ရှိခဲ့သည်။ တိုက်ခိုက်သူများသည် အသုံးပြုသူ၏စနစ်ကို အဝေးမှဝင်ရောက်နိုင်ရန် အန္တရာယ်ရှိသောကုဒ်ပါရှိသော anthropic.claude-code@2.1.313 ကို Open-VSX directory တွင် ထည့်သွင်းနိုင်ခဲ့သည်။ Microsoft repository တွင် package ၏ အန္တရာယ်ရှိသောဗားရှင်း ထုတ်ဝေမှုကို အတည်မပြုရသေးသော်လည်း ၎င်းအတွက် သတိပေးအစီရင်ခံစာကိုလည်း ထုတ်ပြန်ထားသည်။ ထိခိုက်နေသောဗားရှင်းကို Open-VSX repository မှ ဖယ်ရှားခဲ့ပြီး ပြင်ဆင်ထားသော 2.1.314 ကို ထုတ်ဝေပြီးဖြစ်သည်။
malicious components တွေကို load လုပ်ဖို့အတွက် code ကို extension.js file ရဲ့အစမှာထည့်ပြီး VS Code ကိုစတင်ပြီးနောက် extension initialization လုပ်တဲ့အခါ activate လုပ်ခဲ့ပါတယ် (malicious code ကို activate လုပ်ဖို့အတွက် Claude နဲ့ user interaction မလိုအပ်ပါဘူး)။ malicious activity မှာ ~/.ssh directory ကိုဖန်တီးပြီး "svc-telemetry" annotation ပါတဲ့ public key ssh-ed25519 ကို ~/.ssh/authorized_keys file ထဲထည့်ခြင်းပါဝင်ပါတယ်။ ဒီနောက်မှာ sshd background process ရှိနေခြင်းရှိမရှိကို စစ်ဆေးခဲ့ပါတယ်။ Linux и macOSနှင့် SSH server မရှိပါက ၎င်းကို အသက်သွင်းခြင်း။ Windows OpenSSH ကို PowerShell မှတစ်ဆင့် ထည့်သွင်းခဲ့သည်။
ထို့နောက် malicious code သည် private key ကို ".stk_*" အမည်ရှိ ယာယီဖိုင်တစ်ခုတွင် သိမ်းဆည်းပြီး "-N -R '*:0:localhost:22'" option များဖြင့် ssh ကို run ခြင်းဖြင့် remote access အတွက် external SSH server 134.209.82.225 သို့ reverse tunnel တစ်ခု တည်ဆောက်ခဲ့သည်။ ချိတ်ဆက်မှုကို စက္ကန့် ၆၀ တိုင်း ပြန်လည်သက်တမ်းတိုးခဲ့သည်။ tunnel ကို update လုပ်ခြင်းနှင့် external server များသို့ data ပေးပို့ခြင်းအတွက် script များ ဆာဗာများ ~/.config/.smt နှင့် ~/.config/.smtk ဖိုင်များတွင် သိမ်းဆည်းထားသည်။ ပုံမှန်စတင်ခြင်း Linux cron မှတစ်ဆင့် configure လုပ်ထားသည်၊ macOS LaunchAgent (com.apple.sysmond.plist) မှတစ်ဆင့် နှင့် Windows SysMon နှင့် autostart မှတစ်ဆင့်။
ထို့အပြင်၊ စနစ်သည် hostname၊ မှတ်ပုံတင်ထားသောအသုံးပြုသူများ၊ operating system၊ home directory၊ အီးမေးလ် (git config --global user.email မှတစ်ဆင့်) နှင့် KEY၊ TOKEN၊ SECRET၊ PASS၊ AWS နှင့် GCP ဟူသောစကားလုံးများပါသည့် environment variable များအကြောင်း အချက်အလက်များကို စုဆောင်းခဲ့သည်။ ဒေတာကို JSON format ဖြင့် URL http://134.209.82.225:8099/beacon သို့ ပေးပို့ခဲ့သည်။
VS Code အတွက် Claude Code add-on အသုံးပြုသူများသည် ၎င်းတို့၏စနစ်များတွင် အန္တရာယ်ရှိသော ဗားရှင်း 2.1.313 ကို ထည့်သွင်းခြင်း ရှိ၊ မရှိ စစ်ဆေးရန် အကြံပြုအပ်ပါသည်။ စနစ်အန္တရာယ်ရှိကြောင်း ညွှန်ပြသည့် လက္ခဏာများတွင် ~/.config/.smt, ~/.config/.smtk, ~/Library/LaunchAgents/com.apple.sysmond.plist, ${TMPDIR}/.stk_*, ~/.config/smt.cmd ဖိုင်များ၏ အသွင်အပြင် ပါဝင်သည်။
~/.config/smtk၊ SysMon နှင့် sysmon.cmd တို့အပြင် ports ၂၂ နှင့် ၈၀၉၉ များသို့ ဝင်ရောက်ခွင့် IP လိပ်စာ 134.209.82.225 တွင် HTTP/HTTPS တောင်းဆိုမှုများကို ifconfig.me နှင့် api.ipify.org တို့၏ host များထံ ပေးပို့ခြင်း။
တိုက်ခိုက်သူများသည် add-on ထဲသို့ malicious code ကို မည်သို့ထည့်သွင်းနိုင်ခဲ့သည်ကို အတိအကျမသိရသေးသော်လည်း package ကိုထိန်းသိမ်းသည့် Anthropic ဝန်ထမ်းတစ်ဦး၏အကောင့်သည် ဟက်ခ်ခံရခြင်း သို့မဟုတ် release publishing system ရှိ လုံခြုံရေးချို့ယွင်းချက်တစ်ခုကို အသုံးချခံရခြင်းဖြစ်နိုင်ကြောင်း ယုံကြည်ရသည်။
source: opennet.ru
