Cursor’da Zararlı Claude Code Eklentisi 11 Saat Yayında Kaldı, 5.000 Kullanıcıya Ulaştı

Anthropic’in geliştirici aracı Claude Code’un kurcalanmış bir kopyası, yapay zekâ destekli kod editörü Cursor’ın eklenti mağazasında yaklaşık 11 saat boyunca indirilebilir kaldı. Zararlı sürüm, geliştirici bilgisayarlarına gizli bir SSH arka kapısı yerleştirmeye çalıştı. Cursor, en fazla 5.000 kullanıcının etkilenmiş olabileceğini açıkladı.

Saldırı Nasıl Gerçekleşti?

Sürüm numarası 2.1.313 olan yapı, 29 Ekim Perşembe günü Pasifik saatiyle yaklaşık 02.27 ile 13.35 arasında Cursor’ın eklenti mağazasında yer aldı. Eklenti, resmî ve doğrulanmış yayıncı hesabı üzerinden dağıtıldığı için kullanıcıların çoğu onu sıradan bir güncelleme olarak aldı; çünkü Cursor eklentileri varsayılan olarak kendiliğinden güncelleniyor. Phorion şirketinin CTO’su Luke Roberts, durumu Ars Technica’ya bu şekilde anlattı. Saldırganların hesabın kontrolünü nasıl ele geçirdiği ise henüz açıklanmadı.

Arka Kapı Ne Yapıyordu?

Araştırmacılar, eklentinin ana JavaScript paketinin başına eklenmiş 66 satırlık bir yükleyici kod buldu. Cursor’a göre bu kod, makine ve kullanıcı bilgilerini topladı, ardından saldırganın kontrolündeki bir SSH anahtarını sisteme ekledi. Sonrasında SSH’yi etkinleştirip dışarıya ters tünel açmaya çalıştı ve bu denemeyi yaklaşık her 60 saniyede bir yineledi. Kodlardaki hatalar nedeniyle SSH adımı, Cursor yönetici ayrıcalıklarıyla çalıştırılmadıkça çoğunlukla başarısız oldu. Yine de yetkisiz anahtar ve kalıcılık mekanizmaları kuruldu.

Anthropic ve Cursor Ne Dedi?

Anthropic, eklentiyi kendisinin geliştirmediğini ve yayımlamadığını, sistemlerinin ya da çalışan cihazlarının ele geçirilmediğini belirtti. Şirketten Felix Rieseberg, X’te kötü niyetli bir kişinin Cursor’ın mağazasına eriştiğini yazdı. Anthropic, Open VSX ve Microsoft’un VS Code Marketplace’inde temiz sürüm olan 2.1.314’ü yayımladı. Cursor ise zararlı sürümü kaldırdı, eklenti mağazasını kapatıp baştan kurdu ve anahtarlarını yeniledi. Etkilenen kullanıcıların “svc-telemetry” etiketli bir SSH anahtarı olup olmadığını kontrol etmesi, makineleri izole etmesi ve kimlik bilgilerini yenilemesi öneriliyor.