Web3 geliştiricisi brucexu.eth, Cursor’da işe alım klasörünü açınca cihazına zararlı yazılım bulaştığını söyledi

Web3 geliştiricisi brucexu.eth, sahte işe alım sürecinde kendisine gönderilen proje klasörünü Cursor’da aç은 뒤 cihazına zararlı yazılım bulaştığını söyledi. Varlık kaybı yaşanmadı.

Olayın geçen ocak ayında yaşandığını belirten brucexu.eth, işe alım sürecindeki karşı tarafın gönderdiği kod deposuna yalnızca göz atmanın güvenli olacağını düşündüğünü anlattı. ChainCatcher olayı aktardı.

Geliştirici, kodu kendisinin çalıştırmadığını söyledi. Bir geliştiricinin kodu çalıştırmasıyla geliştirme aracının projeyi açarken yapılandırılmış bir görevi yerine getirmesi farklı durumlar.

SlowMist’in kurucusu Cos, kendisine iletilen örneği inceledikten sonra proje klasörünü açmanın da zararlı kodun çalışmasına yol açabileceği uyarısında bulundu.

SlowMist’in yayımladığı ayrı bir demo, klasör açıldığında komut çalıştıracak şekilde yapılandırılmış bir proje üzerinden bu yöntemi açıklıyor.

Demo projesinde, klasör açılırken çalışacak biçimde ayarlanmış bir görev dosyası bulunuyor. Proje Cursor’da açıldığında hesap makinesi başlatıldı.

Bu demo, proje klasörünü açma sürecinde komut çalışabileceğini gösteriyor. Ancak brucexu.eth’in aldığı depoda aynı dosyanın çalıştığı anlamına gelmiyor.

Microsoft (MSFT)의 VS Code 관련 GitHub 이슈는 자동 작업의 기본 설정이 ‘꺼짐’이며, 처음 여는 프로젝트에서는 사용자가 허용해야 작업이 실행되는 방식이라고 설명한다.

SlowMist’in demo materyalinde Cursor’da proje güveni doğrulama özelliğini etkinleştirme ve otomatik görevleri devre dışı bırakma ayarları öneriliyor. Davranış, araca ve proje ayarlarına göre değişebilir.

Bu nedenle yalnızca bir klasörü açmanın tüm geliştirme ortamlarında kötü amaçlı kodu çalıştırdığı genellenemez. Olaydaki bulaşma yolu ve gerçekten çalıştırılan dosyalar kamuya açık açıklamada yer almadı.

Sahte işe alım girişimleri, geliştiricilere tanımadıkları projeleri incelemeleri için gerekçe sunuyor. Bir kod deposunun gönderilmiş olması, içindeki dosyalara veya otomatik görevlere güvenilebileceği anlamına gelmiyor.

TokenPost daha önce Web3 iş arayanların tarayıcı ve cüzdan bilgilerini hedef alan, proje çalıştırmaya yönlendirme içeren bir saldırı vakasını haberleştirmişti. Bu vaka, proje çalıştırmaya ya da derleme işlemine yönlendirme iddialarıyla ilgiliydi; klasörü açtıktan sonra bulaşma yaşandığı yönündeki bu açıklamadan farklı.

TokenPost ayrıca Web3 geliştiricilerini hedef alan VS Code eklentilerindeki tedarik zinciri saldırısı iddiasını da ele almıştı. İki olayın geliştirme ortamlarının hedef alınması bakımından ortak yönleri bulunsa da bu vakadaki bulaşmayla aynı saldırı yolunun kullanıldığına dair kanıt sunulmadı.

brucexu.eth, bulaşmayı fark ettikten sonra varlıklarını taşıdığını, kimlik bilgilerini değiştirdiğini ve işletim sistemini yeniden yüklediğini bildirdi. Paylaştığı sonuca göre varlık kaybı yaşanmadı.