امتداد Claude Code المزيّف في سوق Cursor نصب أبوابًا خلفية عبر SSH على آلاف أجهزة المطورين

في ٢٩ أكتوبر، جرى توزيع نسخة خبيثة من امتداد VS Code الخاص بـ Claude Code من شركة Anthropic عبر سوق Cursor، وتعرّض ما يصل إلى ٥٬٠٠٠ مطوّر لأبواب خلفية SSH وسرقة بيانات قبل أن تزيله Cursor بعد نحو ١١ ساعة.

كان الإصدار الملوَّث، ٢.١.٣١٣، متاحًا من الساعة ٢:٢٧ فجرًا حتى ١:٣٥ ظهرًا بتوقيت المحيط الهادئ. اكتشف الباحثون الأمنيون مُحمِّل JavaScript خبيثًا حُقن في بداية ملف extension.js، فيما ظلّ باقي المحتوى مطابقًا للامتداد الأصلي. يعمل هذا المُحمِّل تلقائيًا عند تحميل الامتداد، دون أي تفاعل من المستخدم.

بمجرد تنشيطه، يجمع البرنامج الخبيث معلومات النظام كأسماء المستخدمين والمضيفين وعناوين IP العامة وعناوين بريد Git وأسماء متغيرات البيئة المرتبطة ببيانات الاعتماد، ثم يرسلها إلى خادم يتحكم فيه المهاجم على العنوان ١٣٤.٢٠٩.٨٢.٢٢٥. كذلك حاول البرنامج إضافة مفتاح SSH خاص بالمهاجم وتمكين الوصول عبر SSH وإنشاء نفق عكسي مستمر عبر macOS LaunchAgent أو Windows Scheduled Task، مع محاولة الاتصال مرةً كل دقيقة.

حدّت أخطاء برمجية من الانتشار الفعلي للباب الخلفي: على macOS، لم يكتمل إعداد SSH إلا إذا احتوى خرج الأمر على كلمة «Off»، وهو شرط نادر الحدوث. وعلى Windows، سُرِّر إعداد OpenSSH عبر /bin/sh الذي لا يتوفر في التثبيتات القياسية. بيد أن بيانات الاستطلاع المسرَّبة — أسماء متغيرات البيئة التي قد تحمل مفاتيح API أو بيانات اعتماد سحابية أو رموزًا — تكشف أن المهاجمين كانوا يحدّدون الأجهزة للمتابعة اليدوية لا للحصاد الآلي.

أزالت Cursor الامتداد من سوقها، وأغلقت المتجر بأكمله مؤقتًا لمراجعة الامتدادات الأخرى، وأعادت توليد مفاتيح الوصول. كما عملت مع مزوّد الاستضافة لإيقاف خادم القيادة والتحكم. لم تعثر Cursor على أدلة تفيد بامتداد الهجوم إلى VS Code Marketplace الرسمي أو npm أو Open VSX.

الجانب الأكثر إثارةً للقلق هو بُعد سلسلة التوريد: لا يزال غير محدَّد كيف تمكّن المهاجمون من نشر حزمة خبيثة باسم Anthropic الموثَّق. باتت أسواق امتدادات المطوّرين هدفًا جذّابًا لهجمات سلسلة التوريد، إذ يثق المطوّرون عادةً بحزم البائعين المعروفين، كما تمنح بيئات التطوير المتكاملة الامتداداتِ صلاحياتٍ واسعةً على النظام.

على المطوّرين الذين ثبّتوا الإصدار ٢.١.٣١٣ خلال تلك الفترة التحقّق من وجود مفتاح SSH باسم svc-telemetry؛ وإذا وُجد، يوصى بعزل الجهاز وتدوير جميع الأسرار والجلسات والبناء من نسخة احتياطية آمنة.

نشرت BleepingComputer هذا الخبر أوّلًا.