Anthropic tomonidan taqdim etilgan va 63 million marta yuklab olingan VS Code uchun rasmiy Claude Code qo'shimchasida kompromis aniqlandi. Hujumchilar foydalanuvchi tizimiga masofadan kirish uchun zararli kodni o'z ichiga olgan anthropic.claude-code@2.1.313 versiyasini Open-VSX katalogiga joylashtirishga muvaffaq bo'lishdi. Paketning zararli versiyasining Microsoft omborida nashr etilgani tasdiqlanmadi, ammo u uchun ogohlantirish hisoboti ham yaratildi. Ta'sirlangan versiya endi Open-VSX omboridan olib tashlandi va 2.1.314 tuzatish versiyasi nashr etildi.
Zararli komponentlarni yuklash kodi extension.js faylining boshiga qo'shildi va VS Code ishga tushirilgandan so'ng kengaytma ishga tushirilganda faollashtirildi (zararli kodni faollashtirish uchun foydalanuvchining Claude bilan o'zaro aloqasi talab qilinmadi). Zararli faoliyat ~/.ssh katalogini yaratish va ~/.ssh/authorized_keys fayliga "svc-telemetry" annotatsiyasi bilan ssh-ed25519 ochiq kalitini qo'shishdan iborat edi. Shundan so'ng, sshd fon jarayonining mavjudligi tekshirildi. Linux и macOSva agar SSH serveri yo'q bo'lsa, uni faollashtirish. Windows OpenSSH PowerShell orqali o'rnatildi.
Zararli kod keyin maxfiy kalitni ".stk_*" nomli vaqtinchalik faylga saqladi va "-N -R '*:0:localhost:22'" parametrlari bilan ssh ni ishga tushirish orqali masofaviy kirish uchun tashqi SSH server 134.209.82.225 ga teskari tunnel o'rnatdi. Ulanish har 60 soniyada yangilandi. Tunnelni yangilash va tashqi serverlarga ma'lumotlarni yuborish uchun skriptlar serverlar ~/.config/.smt va ~/.config/.smtk fayllarida saqlangan. Vaqti-vaqti bilan ishga tushiriladi Linux cron orqali sozlangan, ichida macOS LaunchAgent (com.apple.sysmond.plist) orqali va ichida Windows SysMon va avtomatik ishga tushirish orqali.
Bundan tashqari, tizim xost nomi, ro'yxatdan o'tgan foydalanuvchilar, operatsion tizim, uy katalogi, elektron pochta (git config --global user.email orqali) va KEY, TOKEN, SECRET, PASS, AWS va GCP so'zlarini o'z ichiga olgan nomlarga ega muhit o'zgaruvchilari haqida ma'lumot to'pladi. Ma'lumotlar JSON formatida http://134.209.82.225:8099/beacon URL manziliga yuborildi.
VS Code uchun Claude Code qo'shimchasidan foydalanuvchilarga o'z tizimlarini zararli 2.1.313 versiyasining o'rnatilishini tekshirish tavsiya etiladi. Tizimning ishdan chiqishi ko'rsatkichlariga ~/.config/.smt, ~/.config/.smtk, ~/Library/LaunchAgents/com.apple.sysmond.plist, ${TMPDIR}/.stk_*, ~/.config/smt.cmd fayllarining paydo bo'lishi kiradi.
~/.config/smtk, SysMon va sysmon.cmd, shuningdek, 22 va 8099 portlariga kirish imkoniyati IP manzili 134.209.82.225 va ifconfig.me va api.ipify.org xostlariga HTTP/HTTPS so'rovlarini yuborish.
Hujumchilar qo'shimchaga zararli kodni qanday kiritishga muvaffaq bo'lganliklari aniq emas, ammo paketni boshqarayotgan Anthropic xodimining akkaunti buzib kirilgan yoki nashrni nashr etish tizimidagi xavfsizlik kamchiligidan foydalanilgan bo'lishi mumkin deb taxmin qilinmoqda.
Manba: opennet.ru
