Çok sayıda kaynak, saldırının en az 5.000 geliştiricinin bilgisayar makinelerine zarar verme potansiyeli taşıdığını aktardı. Olay, tedarik zinciri saldırılarının ne kadar kritik hale geldiğini bir kez daha gözler önüne sererken, şirketlerin henüz müşterilerini resmi olarak bilgilendirmemesi büyük soru işaretleri oluşturuyor.
Resmi Hesap Üzerinden Dağıtılan Zararlı Kod
Güvenlik firması Phorian'ın CTO'su ve kurucu ortağı Luke Roberts'a göre, bu olay klasik bir tedarik zinciri ihlali niteliğindeydi. Saldırganlar, Anthropic'in Cursor üzerindeki doğrulanmış resmi hesabına erişim sağlayarak zararlı 2.1.313 sürümünü yayınladı. Bu sürüm, önceki 2.1.312 sürümünün yerini alarak otomatik güncelleme özelliğini kullanan kullanıcıların sistemlerine bulaştı. Bağımsız araştırmacı Kevin Beaumont da bu bilgileri teyit ederken, saldırganların hesaba nasıl ulaştığına dair ne Anthropic ne de Cursor tarafından henüz bir açıklama yapılmadı.
Cursor, zararlı uzantının kalıcı bir SSH arka kapısı kurmayı hedeflediğini duyurdu. Saldırıda saldırgan kontrolündeki bir SSH anahtarı eklenerek yerel SSH servisi etkinleştirildi ve tersine SSH tüneli açıldı. Bu kod, Windows, macOS ve Linux işletim sistemlerinde çalışacak şekilde yazılmıştı. Cursor uzantıları, Entegre Geliştirme Ortamı (IDE) yetkileriyle çalıştığı için, bu arka kapı kurulan makinelerde yerel dosyalara, kaynak kodlarına ve geliştirici araçlarına erişim kazanma imkânı sağlıyordu.
Zararlı Kodun Yetenekleri ve Alınan Tedbirler
Phorian'ın analizine göre, zararlı kodun değişken adlarını çalabilme özelliği, saldırganın ele geçirilen cihazlarda depolanan bulut kimlik bilgilerini ve API anahtarlarını hızla envanter almasını sağlıyordu. Bu durum, takip saldırılarında hangi makinelerin öncelikli olarak hedef alınacağını belirlemek için kullanılmış olabilir. Ancak Phorian, Windows ve macOS için yazılan zararlı koddaki hatalar nedeniyle arka kapının bazı durumlarda çalışmadığını belirtirken, yine de kalıcılık kurma ve operatöre ev sahipliği keşfi sinyali gönderme kapasitesi nedeniyle tehdidin ciddi olduğunu vurguladı.
Olayın fark edilmesinin ardından Cursor ekibi, tersine kabuğun bağlandığı sunucuyu barındıran bulut sağlayıcısıyla iş birliği yaparak enfekte cihazların bu sunucuya erişimini kesti. Şirket, sızdırılan sürümü pazardan kaldırdı ve dağıtımı engelledi. Güvenlik denetimleri yapmak ve anahtarları döndürmek amacıyla VS Code Pazarı'nı bir süre kapatıp açtığını duyuran Cursor, diğer uzantılarda da sızıntı olup olmadığını denetledi. Olayın yaşandığı saat dilimine göre perşembe günü saat 05.27 ile 16.35 arasında Anthropic'in VS Code uzantısını güncelleyen veya kuran tüm kullanıcıların etkilenmiş sayılması gerektiği uyarısı yapıldı. Her iki şirketin de olayın nedenini ve müşterileri neden kamuya açık şekilde uyarılmadığını açıklamaması, sektör ve kullanıcılar tarafından şüpheyle karşılanıyor.
Yorumlar (0)
Henüz yorum yok. İlk yorumu siz yazın.