Russian OSINT

Канал 🔨SecAtor пишет интересное: В рамках новой атаки на цепочку поставок пользователи Cursor стали жертвами вредоносных версий расширения Claude Code от Anthropic. Инцидент произошёл 29 октября и затронул версии 2.1.312 и 2.1.313 расширения anthropic.claude-code, которые размещались в магазине расширений Cursor VS Code примерно 11 часов. Расширение для пользователей macOS и Windows содержало код JavaScript, который запускался при загрузке модулей для установления обратного SSH-туннеля. Как отмечает Кевин Бомонт, вредоносные версии могли быть загружены примерно на 5000 системах разработчиков. При этом модифицированные версии расширений не были разработаны Anthropic и не были опубликованы в Microsoft Visual Studio Marketplace, Open VSX или реестре NPM. Злоумышленник использовал доступ к маркетплейсу Cursor для публикации модифицированной копии расширения Claude Code. Во избежание путаницы Anthropic обновила свое легитимное расширение Claude Code до версии 2.1.314. Cursor достаточно быстро удалила модифицированное расширение Claude Code из магазина после его обнаружения и приостановила работу торговой площадки для расследования инцидента. При этом не обнаружила других вредоносных расширений, тем не менее сменила все ключи. Модифицированные версии расширения содержали функционал JavaScript, который выполнялась во время загрузки модуля для сбора информации о хосте, изменения файлов и выполнения команд операционной системы. Как сообщает Microsoft, загрузчик пытался установить ключ SSH, включить SSH, создать обратный туннель и обеспечить сохранение. После этого с помощью отложенного обратного вызова предпринималась попытка отправить сведения о хосте. Код собирал такую информацию, как имя хоста, имя пользователя, ОС, архитектуру системы, рабочий каталог и глобальный адрес электронной почты Git, а также развертывал скрипты, специфичные для платформы, и конфигурации запуска для обеспечения постоянного доступа. По данным Cursor, поскольку для включения локальной службы SSH требуются права администратора, а расширение не обладает ими в большинстве систем macOS и Windows, этот шаг не удался, что помешало злоумышленникам войти в систему через туннель. Cursor выпустила скрипт для детектирования заражения, а также IOCs для выявления потенциальных угроз безопасности в различных средах. Пользователям следует как можно скорее удалить вредоносные версии расширений. Однако, как отмечают в Cursor, необходимо иметь в виду, что удаление расширения может быть недостаточным - полезная нагрузка создает автономные скрипты обеспечения постоянного присутствия.