MWC 2018
2018
Computex
IFA 2018
Вчера системы компании Anthropic были скомпрометированы. В каталоге расширений Open VSX и маркетплейсе Cursor обнаружили вредоносную версию официального расширения Claude Code для VS Code. Подмена пакета позволяла злоумышленникам устанавливать SSH-бэкдор на компьютеры разработчиков под управлением macOS, Linux и Windows. Anthropic не уведомила своих клиентов об инциденте, а вредоносная версия расширения была удалена без оповещения пользователей.
Источник изображений: Anthropic
Исследователи безопасности из компании Phorion первыми обнаружили подозрительную активность на конечных устройствах: «Phorion выявила бэкдор в официальном расширении Claude Code для VS Code, который устанавливает постоянный SSH-бэкдор в системах macOS, Linux и Windows. […] Организациям следует незамедлительно проверить свои рабочие среды на наличие версии 2.1.313 расширения Claude Code для VS Code и, в случае её обнаружения, инициировать процедуру реагирования на инциденты».
Речь в сообщении идёт о скомпрометированной версии 2.1.313. Она распространялась через Open VSX и попала в маркетплейс Cursor, но в официальном Microsoft Visual Studio Marketplace эта версия не появлялась. Несколько часов назад Anthropic заменила её на версию 2.1.314, а заразную версию удалила. В новой версии бэкдор, отсутствует, а также независимая проверка не выявила в нём следов вредоносного кода. Однако, обновление не удаляет SSH-бэкдор из уже заражённых систем и не устраняет последствия предшествовавшей активности.
Представители Cursor подтвердили факт инцидента: «Сегодня мы выявили инцидент безопасности, связанный с конкретным расширением в маркетплейсе Cursor VS Code — Anthropic.claude-code версии 2.1.313. Эта вредоносная версия расширения не была разработана компанией Anthropic. Пострадало не более 5000 пользователей; мы свяжемся с ними напрямую». Согласно информации от Cursor, обнаруженное вредоносное расширение:
- Собирает информацию о хосте и пользователе: имя хоста, имя пользователя, операционную систему, архитектуру, путь к домашнему каталогу, названия переменных окружения, рабочие директории, настроенный адрес электронной почты для Git и публичный IP-адрес.
- Пытается добавить контролируемый злоумышленником SSH-ключ в файл authorized_keys, включить локальную службу SSH и открыть обратный SSH-туннель. Из-за ошибок во вредоносном коде этот этап, как правило, завершается неудачей (за исключением редких случаев, когда Cursor был запущен с правами администратора).
- Пытается обеспечить постоянное существование обратного SSH-туннеля с помощью механизма LaunchAgent (в macOS) или запланированной задачи, которая пытается выполняться от имени системы (SYSTEM) с резервным запуском через скрипт автозагрузки (в Windows). Фоновые скрипты пытаются восстановить туннель примерно каждые 60 секунд.
- Отправляет сведения о хосте и состоянии бэкдора посредством HTTP-запроса POST на эндпоинт `/beacon` (порт 8099).
Предпринятые компанией меры:
- Вредоносная версия расширения удалена из маркетплейса, её дальнейшее распространение заблокировано;
- В качестве меры предосторожности временно полностью отключён маркетплейс VSCode;
- Проведён аудит доступа, который подтвердил, что никакие другие расширения не были скомпрометированы;
- Обновлены ключи доступа, маркетплейс пересобран и возобновил работу;
- Вредоносный сервер благодаря взаимодействию с хостинг-провайдером отключён, соединения с ним заблокированы.
Хотя в блоге Cursor утверждается, что «эта вредоносная версия расширения не была разработана компанией Anthropic», по факту она была загружена через верифицированный аккаунт Anthropic. Разумеется, сама Anthropic бэкдор не создавала — произошёл инцидент безопасности, приведший к атаке на цепочку поставок (supply chain attack).
Недавно Anthropic, которая традиционно делает громкие заявления о безопасности моделей ИИ, предоставила использующим сервис Claude Code разработчикам возможность отключать защитные механизмы. В сборке Claude Code v2.1.311 появилась поддержка переменной окружения, позволяющей ИИ-агенту выполнять команду по удалению файлов без запроса подтверждения.
Источники:
