نفت شركة Anthropic مؤخرًا أي صلة لها بالنسخة الخبيثة من إضافة «Claude Code» الرسمية التي نُشرت في متجر «Cursor» للتطبيقات. جاء هذا النفي بعد مزاعم في قطاع الأمن السيبراني بأن الإضافة، التي أصابت ما يصل إلى 5000 مطور، رُفعت إلى متجر «Cursor» إثر اختراق لأنظمة «Anthropic».
وأكد Felix Rieseberg، عضو الطاقم التقني في Anthropic، عبر منصة X (المعروفة سابقًا بـ Xeet) أن «العمل جارٍ مع Cursor بخصوص هذه الحادثة، لكنها لم تكن اختراقًا لأنظمة Anthropic أو أجهزة كمبيوتر موظفيها المحمولة». وأوضح أن «جهة خبيثة استخدمت صلاحيات وصولها إلى متجر Cursor لنشر نسخة مُعدَّلة من إضافة Claude Code، وهي إضافة لم نقم نحن ببنائها أو نشرها. النسخ الموجودة على قنواتنا الرسمية لم تتأثر، وهذا يؤثر فقط على مستخدمي Cursor».
تفاصيل الهجوم وكيفية عمله
الإضافة الخبيثة، وهي الإصدار 2.1.313، كانت متاحة للتنزيل لمدة 11 ساعة تقريبًا يوم الخميس، بين الساعة 02:27 صباحًا والساعة 01:35 ظهرًا بتوقيت المحيط الهادئ (09:27 صباحًا و08:35 مساءً بالتوقيت العالمي الموحد). تم اكتشافها لأول مرة بواسطة بائع حلول الكشف والاستجابة لنقاط النهاية (EDR) «Phorion».
تحتوي هذه الإضافة على باب خلفي (SSH backdoor) ثابت مخصص لأنظمة Windows وmacOS وLinux. كشفت تحليلات البائعين للبرمجية الخبيثة أنها جمعت معلومات حول الجهاز المضيف والمستخدم، بما في ذلك أسماء المستخدمين، وعناوين البريد الإلكتروني المكونة لـ Git، وعناوين IP العامة، بالإضافة إلى محاولتها فتح نفق SSH عكسي.
النقطة الحاسمة هي أن «Cursor» أكدت تقييم «Phorion» بأن الحزمة كانت تحتوي على عيب خطير. فقد تطلب النص البرمجي المسؤول عن فتح نفق SSH صلاحيات المسؤول (admin rights) على نظامي macOS وWindows للقيام بذلك، وفي الغالبية العظمى من الحالات لم يحصل على هذه الصلاحيات، مما أدى إلى فشل العملية. ومع ذلك، لا تزال الإضافة تقوم بإعادة توجيه بيانات المضيف والمستخدم المجمعة إلى المهاجم، بالإضافة إلى إسقاط مفتاح SSH الخاص بالمهاجم وتثبيت آلية الثبات (persistence mechanism).
بعد اكتشاف المشكلة، أزالت «Cursor» الإصدار الخبيث من المتجر فورًا وحجبت توزيعه. كما أغلقت سوق «VSCode Marketplace» بالكامل كإجراء احترازي، وأجرت فحوصات للتأكد من عدم تعرض أي إضافات أخرى للاختراق بنفس الطريقة، وقامت بتدوير مفاتيحها الخاصة قبل استعادة المتجر، وعملت مع مزود استضافة سحابية لحظر الاتصال بخادم المهاجم.
ماذا يعني هذا للمطورين؟
تُظهر هذه الحادثة مرة أخرى أهمية توخي الحذر الشديد عند تثبيت أي إضافات، حتى تلك التي تبدو رسمية. فمجرد تثبيت أحدث إصدار من الإضافة لا يكفي لإزالة آلية الثبات، مما يتطلب من المطورين البحث عن التهديدات وإزالتها يدويًا في حال سمحت أجهزتهم بإنشاء نفق SSH بنجاح. حتى لو فشل نفق SSH في التكون، فقد تم تسريب البيانات الأساسية وتثبيت آليات الثبات.
نرى أنه يجب على المطورين مراجعة التعليمات التفصيلية التي قدمتها «Cursor» لإصلاح المشكلة وتحميل السكربتات المتاحة لمسح العدوى، لضمان إزالة أي آثار للبرمجيات الخبيثة من أنظمتهم. هذه الحادثة تذكير قوي بأن سلسلة التوريد للبرمجيات يمكن أن تكون نقطة ضعف حرجة تتطلب يقظة مستمرة.
المصدر: theregister.com