Haberler 
Coin Bilgisi 
Hakkımızda 
Cursor Marketplace’te dağıtılan kötü amaçlı Claude Code eklentisinin etkilenen sürümlerine 2.1.312 de eklendi. Cursor, 2.1.313 sürümünün yanı sıra Windows ve Mac için değiştirilmiş dosyaları da belirledi.
Cursor, güvenlik duyurusunu 31’inde saat 03.30’da (Kore saatiyle) güncelleyerek etkilenen sürümleri ve değiştirilmiş dosyaların hash değerlerini yayımladı. Duyuruda belirtilen güncelleme saati Kore saati esas alınarak verildi.
TokenPost daha önce kötü amaçlı 2.1.313 eklentisinin kaldırıldığını ve kullanıcıların cihazlarını kontrol etmelerinin önerildiğini bildirmişti. Son güncellemeyle 2.1.312 sürümünü yükleyen veya güncelleyen kullanıcılar da kontrol kapsamına alındı.
Cursor’ın açıklamasına göre kötü amaçlı eklenti 29’unda saat 18.27’de dağıtılmaya başladı. Dağıtım ertesi gün saat 05.35’e kadar sürdü ve yaklaşık 11 saat devam etti.
Kontrol etmesi önerilenler, bu süre içinde Cursor Marketplace’ten 2.1.312 veya 2.1.313 sürümünü Windows ya da Mac cihazına yükleyen veya güncelleyen kullanıcılar. Cursor, iki sürümdeki değiştirilmiş dosyaları ve bunların hash değerlerini duyuruda paylaştı.
Cursor, değiştirilmiş dosyaların Anthropic’in resmi Claude Code eklentisine ait olmadığını belirtti. Bu dosyalar Windows ve Mac için hazırlandı.
Kötü amaçlı yazılım; bilgisayar adını, kullanıcı adını, işletim sistemini, genel IP adresini ve ortam değişkenlerinin adlarını toplayıp gönderecek şekilde tasarlandı. Toplanan veriler ortam değişkenlerinin adlarını içeriyor; değişkenlerdeki değerleri kapsamıyor.
Yazılım, authorized_keys dosyasına svc-telemetry işaretli bir saldırgan SSH anahtarı ekleyecek şekilde tasarlandı. SSH hizmetini etkinleştirmeyi ve ters tünel bağlantısı kurmayı da denedi.
Kalıcılık sağlama yöntemi işletim sistemine göre değişiyor. macOS’ta LaunchAgent, Windows’ta zamanlanmış görev oluşturulması; ayrıca alternatif yöntem olarak bir başlangıç betiğinin kullanılması planlandı.
Cursor, yetersiz izinler veya koddaki hatalar nedeniyle SSH hizmetinin etkinleştirilmesi ve tünel bağlantısının çoğu Windows ve Mac sisteminde başarısız olabileceğini söyledi. Ancak anahtarın ve kalıcılık bileşenlerinin kurulması ile ana bilgisayar bilgilerinin gönderilmesi ayrı ayrı gerçekleşebilir. Kodun gerçekten çalıştırılıp çalıştırılmadığı ve ihlalin boyutu doğrulanmadı.
OpenSourceMalware, analizinde kötü amaçlı yükleyicinin normal eklenti kodundan önce çalıştığını ve kullanıcı bir konuşma başlatmasa ya da ayrı bir görev yürütmese bile eklenti yüklendiğinde etkinleşebileceğini belirtti. Bu nedenle yalnızca eklentiyi silmenin geride kalan çalıştırma yollarını temizlediği kesin olarak söylenemez.
İlk analizlerde Open VSX gibi başka dağıtım kanallarının adı da geçmişti. OpenSourceMalware daha sonra raporunu güncelleyerek ilk kaynak olarak Cursor Marketplace’i gösterdi. Socket ise Open VSX değişiklik geçmişinde 2.1.313’ün yayımlanıp silindiğine ilişkin kayıt bulamadığını, npm dağıtım kayıtlarında da bu sürümü doğrulayamadığını açıkladı.
Cursor, kötü amaçlı sürümü kaldırıp yeni dağıtımları engelledi. Marketplace’i geçici olarak erişime kapatarak erişim kayıtlarını incelediğini ve diğer eklentilerde değiştirilme izi bulmadığını bildirdi.
Şirket, ilgili anahtarları yeniledikten ve Marketplace’i yeniden kurduktan sonra hizmeti tekrar açtı. Ayrıca barındırma sağlayıcısıyla birlikte çalışarak saldırgan sunucuları devre dışı bıraktığını açıkladı.
İlk Çince duyuruda yer alan 5.000’e kadar kullanıcı tahmini, etkilenmiş olabilecek kullanıcı sayısını ifade ediyordu. Güncellenen İngilizce duyuruda bu sayı yeniden verilmedi; tahmin, gerçek indirme veya yükleme sayısını ya da ihlal edilen cihaz sayısını göstermiyor. TokenPost’un ilk duyurudaki tahmine ilişkin haberinde de kullanıcı sayısı ile gerçek bulaşma ölçeğinin birbirinden ayrılması gerektiği belirtilmişti.
Cursor, söz konusu dönemde eklentiyi yükleyen veya güncelleyen kullanıcılara saldırgan SSH anahtarlarını, kalıcılık dosyalarını ve çalışan tünel süreçlerini kontrol etmelerini önerdi. Çalıştırma izi bulunan cihazların ağdan izole edilmesini, erişilebilir olmuş olabilecek kimlik bilgilerinin ve oturumların ise güvenilir başka bir cihaz kullanılarak yenilenmesini tavsiye etti.
Yorum 0