کشف بدافزار و درپشتی خطرناک در نسخه جعلی افزونه Claude Code — Official Claude Code extension compromise
خلاصه
محققان امنیت سایبری از کشف یک درپشتی (Backdoor) خطرناک در نسخه ۲.۱.۳۱۳ افزونه رسمی Claude Code در مارکت‌پیس Cursor خبر دادند. این بدافزار با سوءاستفاده از دسترسی‌های IDE، کلیدهای SSH را تزریق کرده و یک تونل ارتباطی پایدار برای دسترسی مهاجمان به سیستم توسعه‌دهندگان ایجاد می‌کند.
مقدمه و زمینه
امنیت زنجیره تأمین نرم‌افزار بار دیگر چالش‌برانگیز شد. شرکت امنیتی Phorion از کشف یک بدافزار پنهان در بسته نسخه ۲.۱.۳۱۳ افزونه Claude Code برای VS Code در مارکت‌پیس Cursor خبر داده است. این نسخه آلوده حاوی کدی است که به محض بارگذاری در سیستم‌عامل‌های macOS، Linux و Windows، یک درپشتی SSH پایدار ایجاد می‌کند. مارکت‌پیس‌های ابزار توسعه‌دهندگان به دلیل دسترسی مستقیم به فایل‌ها و ابزارهای محلی، به هدف جذابی برای مهاجمان تبدیل شده‌اند.
ساختار حمله و زنجیره آلودگی
این بسته دستکاری‌شده با یک تابع بلافاصله اجراشونده یا همان IIFE در فایل extension.js شروع می‌شود. این کد مخرب پیش از فعال شدن کدهای اصلی افزونه و بدون نیاز به تعامل کاربر، ماژول‌های استاندارد Node.js مانند child_process، fs، os، path و crypto را فراخوانی می‌کند.
فرایند آلودگی در چند مرحله انجام می‌شود:
- مرحله اول (آماده‌سازی SSH): بدافزار بررسی می‌کند که دایرکتوری
~/.sshوجود داشته باشد و یک کلید عمومی Ed25519 متعلق به مهاجم را با کامنتsvc-telemetryبه فایلauthorized_keysاضافه می‌کند. همچنین اسکریپت تلاش می‌کند سرویس SSH را در سیستم‌عامل‌های مختلف فعال کند. - مرحله دوم (تونل معکوس): با استفاده از یک کلید خصوصی جاسازی‌شده با کامنت
svc-telemetry-tun، یک اتصال SSH خروجی به سرور مهاجم برقرار می‌کند تا دسترسی تعاملی و پایداری فراهم شود. - مرحله سوم (پایداری و استمرار): بدافزار با ایجاد اسکریپت‌ها و فایل‌های تنظیماتی مانند
LaunchAgentدر مسیرهای سیستمی macOS (با نام‌گذاری فریبنده مثلcom.apple.sysmond.plist) تضمین می‌کند که پس از راه‌اندازی مجدد سیستم نیز فعال بماند. - مرحله چهارم (شناسایی میزبان یا Host Recon): بدافزار اطلاعات پایه‌ای سیستم مانند نام میزبان، نام کاربری، معماری سیستم‌عامل، ایمیل گیت و متغیرهای محیطی حاوی کلیدهای حساس (
KEY،TOKEN،SECRET،PASS،AWS،GCP) را جمع‌آوری کرده و طی درخواست‌های HTTP به سرور مهاجم ارسال می‌کند.
باگ‌های پیاده‌سازی و خطاهای بدافزار
جالب است بدانید که کدهای مخرب در پلتفرم‌های مختلف دارای اشکالات منطقی هستند:
- در سیستم‌عامل macOS، دستور بررسی وضعیت ریموت لاگین بدون سطح دسترسی روت اجرا می‌شود. ابزار سیستم‌عامل خطای عدم دسترسی را برمی‌گرداند و اسکریپت به‌اشتباه تصور می‌کند که SSH فعال است، در نتیجه فرمان فعال‌سازی را اجرا نمی‌کند.
- در ویندوز نیز برخی مسیرها و دستورات پاورشل با توابع کمکی ناسازگار با محیط ویندوز (
/bin/sh) پیاده‌سازی شده‌اند که ممکن است مانع از اجرای درست آن‌ها شود.
چرا این موضوع برای مهندسان نرم‌افزار اهمیت دارد؟
این رخداد بار دیگر آسیب‌پذیری ذاتی اکوسیستم افزونه‌های IDE را نشان می‌دهد. از آنجا که افزونه‌ها با سطح دسترسی کاربر و خود محیط توسعه اجرا می‌شوند، یک پکیج آلوده می‌تواند در کسری از ثانیه به تمام مخازن سورس‌کد، متغیرهای محیطی و کلیدهای دسترسی ابری دست پیدا کند. پلتفرم‌های ارائه‌دهنده، این نسخه‌های آلوده را حذف کرده‌اند، اما سازمان‌ها و توسعه‌دهندگانی که از نسخه آسیب‌دیده‌ی مذکور استفاده کرده‌اند باید فوراً محیط خود را بررسی کرده و سناریوهای پاسخ به حادثه را اجرا کنند.
این مطلب به‌صورت کاملاً خودکار و با هوش مصنوعی از مقالهٔ اصلی و بحث هکرنیوز تهیه شده و ممکن است خطا داشته باشد. حقوق مطلب اصلی متعلق به نویسندهٔ آن است. قوانین و گزارش مشکل