Cursor-ի տվյալներով՝ այն հեռացրել է Claude Code-ի վնասաբեր փաթեթները, տուժել է մինչև 5 000 օգտատեր

Cursor-ը հեռացրել է Anthropic-ի Claude Code ընդլայնման փոփոխված պատճենները 2026 թ․ հոկտեմբերի 29-ի միջադեպից հետո։ Ընդլայնումների հարթակի օպերատորի խոսքով՝ տուժել է առավելագույնը 5 000 օգտատեր։ Փաթեթներն օգտագործել են ծրագրավորման օգնականի օրինական ընդլայնման նույնականացումը, ուստի ծրագրավորողները կարող էին վնասաբեր ծրագիրը ստանալ որպես թարմացում, այլ ոչ թե առանձին նմանակ։

Cursor-ի անվտանգության թարմացված ծանուցման մեջ նշված են 2.1.312 և 2.1.313 տարբերակները․ հաստատվել է, որ վնասաբեր փաթեթներ են տարածվել ARM64 պրոցեսորներով macOS-ի և x64 պրոցեսորներով Windows-ի համար։ Cursor-ը հայտնել է, որ վնասաբեր թարմացումները հասանելի են եղել մոտ 11 ժամ՝ հոկտեմբերի 29-ին Խաղաղօվկիանոսյան ամառային ժամանակով մոտ 02:27-ից 13:35-ը [Երևանի ժամանակով՝ հոկտեմբերի 29-ի 13:27-ից մինչև հոկտեմբերի 30-ի 00:35-ը]։

Օգտատերերի առավելագույն թիվը չի արտացոլում հարձակվողի հաջող մուտքերի քանակը։ Microsoft-ի վերլուծության համաձայն՝ հեռահար մուտքը կախված էր վարչարարի իրավունքներից, աշխատակայանի հեռահար մուտքի կարգավորումներից և հարձակվողի սերվերի կազմաձևումից։ Վնասաբեր բանալիներն ու գործարկման սցենարները կարող էին մնալ սարքում նույնիսկ մուտքի ձախողման դեպքում։

Ինչ էր փորձում անել վնասաբեր ընդլայնումը

Microsoft-ը պարզել է, որ ներդրված կոդը գործարկվում է ընդլայնման բեռնման ժամանակ՝ դրա սովորական գործարկման կոդից առաջ։ Այն փորձում է գաղտնի մուտքի ուղի ստեղծել հեռահար մուտքի Secure Shell կամ SSH գործիքի միջոցով։ Չարտոնված SSH բանալին թույլ կտար այն ունեցողին մուտք գործել ծրագրավորողի հաշիվ, եթե տեղական SSH ծառայությունը դա թույլատրեր։

Վնասաբեր ծրագիրը նաև փորձում է ելքային հակադարձ թունել ստեղծել․ աշխատակայանից կապ է հաստատում հարձակվողի սերվերի հետ, որի միջոցով հնարավոր է հետադարձ մուտք գործել աշխատակայան։ Հաջող մուտքի դեպքում հարձակվողը կարող էր հրամաններ կատարել կամ ֆայլեր փոխանցել։ Գործարկման սցենարները փորձում են վերականգնել կապը, երբ այն ընդհատվում է կամ օգտատերը կրկին մուտք է գործում համակարգ։

Cursor-ը հայտնել է, որ SSH-ն միացնելու համար անհրաժեշտ էին վարչարարի իրավունքներ, որոնք ընդլայնումը չուներ macOS և Windows համակարգիչների մեծ մասում։ Դա խոչընդոտել է այդ սարքեր թունելի միջոցով մուտքը։ Ընկերության խոսքով՝ ընդլայնումը, այնուամենայնիվ, ավելացրել է հարձակվողի բանալին, տեղադրել գործարկման մեխանիզմներ և ուղարկել սարքերի տվյալները, ուստի մաքրումն անհրաժեշտ է։

Phorion-ի վերլուծությունը, որը հոկտեմբերի 30-ին ներկայացրել է BleepingComputer-ը, բացահայտել է կարգավորման լրացուցիչ սխալներ։ macOS-ում թույլտվությունների հետ կապված սխալի պատճառով վնասաբեր ծրագիրը բաց է թողել հեռահար մուտքը միացնելու քայլը։ Windows-ում այն փորձել է օգտագործել Unix-ի հրամանային միջավայր, որը հասանելի չէ համակարգի սովորական տեղադրումներում։ Այս խափանումները չեն կանխել բանալու տեղադրումը կամ գործարկման փոփոխությունները և չեն պաշտպանել այն սարքերը, որոնցում SSH-ն արդեն աշխատում էր։

Cursor-ը հայտնել է, որ վնասաբեր ծրագիրն ուղարկել է համակարգչի և օգտատիրոջ անունները, օպերացիոն համակարգի տվյալները, պանակների ուղիները, Git-ում նշված էլեկտրոնային հասցեն և հանրային IP հասցեն։ Microsoft-ը պարզել է, որ այն ուղարկել է միջավայրի ընտրված փոփոխականների անունները, ոչ թե արժեքները։ Այդ փոփոխականները ծրագրային կարգավորումներ են, որոնք կարող են մուտքի տվյալներ պարունակել․ դրանց անունները բացահայտում են կարգավորումների տեսակները, բայց չեն ապացուցում գաղտնի տվյալների գողությունը։

Ինչպես ստուգել և մաքրել տուժած սարքը

Տուժած փաթեթները տեղադրած կամ դրանք ինքնաշխատ թարմացրած ծրագրավորողները պետք է ծանոթանան Cursor-ի անվտանգության ծանուցմանը։ Այն պարունակում է փաթեթների թվային նույնացուցիչներ՝ ֆայլերը համեմատելու համար, ինչպես նաև svc-telemetry պիտակով հարձակվողի SSH թույլտվության բանալու ստուգման միջոցներ։ Cursor-ի խոսքով՝ այդ բանալու հայտնաբերումը հաստատում է, որ սարքը տուժել է։ Microsoft-ը զգուշացնում է, որ միայն պիտակի բացակայությունը բավարար չէ սարքն անվտանգ համարելու համար․ անհրաժեշտ է նաև ստուգել տեղադրման գրանցումները, գործող գործընթացները, ցանցային ակտիվությունն ու գործարկման փոփոխությունները։

Միայն ընդլայնումը թարմացնելը կամ հեռացնելը չի վերացնում դրա տեղադրման պանակից դուրս գրված վնասաբեր ֆայլերը։ Microsoft-ը խորհուրդ է տալիս մաքրումից առաջ պահպանել ապացույցները։ Cursor-ը խորհուրդ է տալիս կատարել հետևյալ քայլերը․

1. Մեկուսացնել այն սարքերը, որոնցում վնասաբեր կոդի գործարկման կամ գաղտնի մուտքի ուղու տեղադրման հետքեր կան։
2. Հեռացնել չարտոնված SSH բանալին, գործարկման վնասաբեր մեխանիզմներն ու թունելի գործող գործընթացները։ Գնահատել՝ արդյոք սարքը վերատեղադրման կարիք ունի։
3. Վստահելի համակարգից փոխել տուժած սարքից հասանելի մուտքի տվյալները և չեղարկել կամ թարմացնել աշխատաշրջանները։ Միջավայրի փոփոխականների անունների սահմանափակ հավաքագրումը չի բացառում, որ հետագայում գաղտնի մուտքի ուղով հնարավոր է եղել հասնել մուտքի տվյալներին։

Cursor-ի խոսքով՝ սցենարները հեռացնում են վնասաբեր ընդլայնումը, գործարկման մեխանիզմները, թունելի գործընթացներն ու հարձակվողի բանալին և սխալի կարգավիճակ են վերադարձնում, եթե դրանցից որևէ մեկը մնացել է։ Microsoft-ը խորհուրդ է տալիս օգտագործելուց առաջ ուսումնասիրել սցենարները և ստուգել, որ համակարգ մուտք գործելուց կամ այն վերագործարկելուց հետո վնասաբեր ֆայլերն ու գործարկման գրառումները չեն վերադառնում։

Ընկերությունների արձագանքը և շարունակվող հետաքննությունը

Cursor-ը հայտնել է, որ հայտնաբերումից անմիջապես հետո արգելափակել է տարածումը և անջատել ընդլայնումների հարթակը։ Այնուհետև ստուգել է հասանելիությունը, հաստատել, որ այլ ընդլայնումներ չեն փոփոխվել, փոխել սեփական բանալիները, վերակառուցել հարթակը և վերականգնել ծառայությունը։ Ընկերությունը նաև համագործակցել է հոսթինգի ծառայություն մատուցողի հետ՝ հարձակվողի սերվերն անջատելու համար․ այդպիսով դադարեցվել են հակադարձ կապն ու տվյալների փոխանցումը տվյալ սերվերին։ Microsoft-ը զգուշացնում է, որ սերվերի անջատումը չի վերացնում սարքերում արդեն կատարված փոփոխությունները։

Anthropic-ի տեխնիկական աշխատակից Ֆելիքս Ռիզեբերգը հոկտեմբերի 30-ին ասել է, որ ընկերությունը համագործակցում է Cursor-ի հետ, և հերքել է Anthropic-ի համակարգերի կամ աշխատակիցների դյուրակիր համակարգիչների վտանգումը։ The Register-ում հրապարակված հայտարարության մեջ նա ասել է, որ հարձակվողն օգտագործել է Cursor-ի հարթակի հասանելիությունը փոփոխված պատճեն հրապարակելու համար, որը Anthropic-ը ոչ ստեղծել, ոչ էլ հրապարակել է։ Հարձակվողի ինքնությունը և այն ճշգրիտ եղանակը, որով փաթեթը հայտնվել է օրինական ընդլայնման նույնականացմամբ, մնում են անհայտ։

Microsoft-ը հաստատել է, որ իր Visual Studio Marketplace հարթակով և Claude Code-ի npm բաշխման ուղով վնասաբեր փաթեթները չեն տարածվել։ The Hacker News-ը ուղղել է իր սկզբնական պնդումը, թե միջադեպը կապված էր Open VSX-ի հետ, և հայտնել, որ ապացույցներ չկան, թե վնասաբեր թարմացումը հասել է այդ գրանցամատյան։ Այն հայտնել է նաև, որ Anthropic-ը մինչև 2026 թ․ հոկտեմբերի 30-ը մաքուր 2.1.314 տարբերակը հրապարակել է Open VSX-ում և Microsoft-ի հարթակում, և որ հետագա լրացուցիչ վնասաբեր բաղադրիչներ չեն նկատվել։

Microsoft-ի վերականգնման ուղեցույցը խորհուրդ է տալիս ուսումնասիրել տուժած սարքերի հեռահար մուտքի, հրամանների և ֆայլերի ակտիվությունը՝ պարզելու համար, թե արդյոք հետագա մուտք եղել է։ Cursor-ը հայտնել է, որ ուղղակիորեն կապ կհաստատի տուժած օգտատերերի հետ։