ร้านค้าส่วนขยายของ Cursor ถูกวางยาพิษ: Claude Code ถูกฝังแบ็คดอร์ SSH กระทบผู้ใช้สูงสุด 5,000 คน

动察 Beating ข่าวด่วน AI Cursor เปิดเผยว่าเมื่อวันที่ 29 ตุลาคม ตลาดส่วนขยายของบริษัทพบเวอร์ชัน Claude Code 2.1.313 ที่ถูกแก้ไขโดยไม่ชอบด้วยกฎหมาย แพ็กเกจติดตั้งนี้ไม่ได้สร้างโดย Anthropic และถูกวางจำหน่ายในร้านค้าประมาณ 11 ชั่วโมง Cursor ประเมินว่าอาจมีผู้ใช้ได้รับผลกระทบสูงสุด 5,000 ราย และจะติดต่อพวกเขาโดยตรง

สถาบันวิจัยความปลอดภัย OpenSourceMalware วิเคราะห์พบว่า ผู้โจมตีแทรกโค้ดอันตราย 66 บรรทัดไว้ด้านหน้าโค้ดปกติของปลั๊กอิน เพียงตัวแก้ไขโหลดส่วนขยายนี้ โค้ดก็จะทำงาน โดยไม่จำเป็นต้องให้ผู้ใช้แชทกับ Claude ด้วยซ้ำ

โปรแกรมอันตรายจะเก็บข้อมูลเช่นชื่อคอมพิวเตอร์ อีเมล Git IP สาธารณะ และยังแอบเพิ่มคีย์ของผู้โจมตีลงในรายการอนุญาต SSH จากนั้นพยายามเปิดการเข้าสู่ระบบระยะไกล เชื่อมต่อเซิร์ฟเวอร์ของผู้โจมตีผ่านอุโมงค์ SSH แบบย้อนกลับ และตั้งงานเบื้องหลังที่ทำงานอัตโนมัติเมื่อเปิดเครื่อง โดยพยายามเชื่อมต่อใหม่ทุกประมาณ 60 วินาที

อย่างไรก็ตาม โค้ดโจมตีเองมีข้อผิดพลาด Cursor ระบุว่าคอมพิวเตอร์ Mac และ Windows ส่วนใหญ่ไม่ได้ให้สิทธิ์ผู้ดูแลระบบที่จำเป็นในการเปิดบริการ SSH แก่โค้ดนี้ ผู้โจมตีจึงมักไม่สามารถเข้าสู่ระบบผ่านอุโมงค์ได้ แต่การเพิ่มคีย์อันตราย การติดตั้งสคริปต์เบื้องหลัง และการส่งข้อมูลอุปกรณ์อาจยังสำเร็จได้ คอมพิวเตอร์ที่เปิดบริการ SSH อยู่แล้วก็ไม่อาจถือว่าปลอดภัยได้เช่นกัน

Cursor ได้นำเวอร์ชันอันตรายออกจากระบบแล้ว ปิดตลาดส่วนขยายทั้งหมดชั่วคราว และช่วยปิดเซิร์ฟเวอร์ของผู้โจมตี ผู้ใช้ที่ได้รับผลกระทบต้องตรวจสอบว่าไฟล์อนุญาต SSH มี `svc-telemetry` หรือไม่ และใช้สคริปต์ซ่อมแซมอย่างเป็นทางการในการล้างข้อมูล การถอนการติดตั้งส่วนขยายเพียงอย่างเดียวไม่เพียงพอ เพราะประตูหลังเบื้องหลังอาจยังทำงานต่อ