O extensie falsă de Claude Code a compromis mii de stații de lucru ale dezvoltatorilor

Cum a operat atacul asupra lanțului de aprovizionare?

O versiune malițioasă a extensiei Claude Code și-a făcut loc joi, 29 octombrie, în magazinul de aplicații Cursor. Software-ul compromis a rămas disponibil timp de aproximativ 11 ore, afectând până la 5.000 de dezvoltatori.

Echipele de securitate au confirmat că extensia piratată a încercat să instaleze backdoor-uri SSH neautorizate pe mașinile vizate, generând riscuri uriașe pentru lanțul de aprovizionare software.

Incidentul s-a declanșat după ce un atacator a încărcat pe platformă o copie modificată a instrumentului legitim de programare. Odată instalat, codul rău intenționat a încercat să obțină acces persistent la mediile de lucru ale programatorilor. Cei de la Anthropic, creatorii extensiei originale, au ținut să precizeze că sistemele lor interne au rămas în siguranță pe tot parcursul evenimentului, iar bresa a fost limitată strict la mediul magazinului terț.

Cercetătorii în securitate cibernetică au descoperit că extensia clonată rula scripturi ascunse chiar din momentul instalării. Aceste scripturi vizau fișierele de configurare SSH locale, având drept scop oferirea unui control de la distanță pentru actori externi asupra stațiilor de lucru.

Cum își pot proteja dezvoltatorii mediile de lucru?

Mascându-se într-o unealtă de productivitate de încredere, pachetul malițios a reușit să treacă neobservat de vigilența inițială a utilizatorilor.

Reacția rapidă a operatorilor platformei a blocat extinderea infecțiilor imediat ce amenințarea a fost descoperită. Administratorii Cursor au șters fișierele compromise și au trimis o alertă urgentă de securitate către baza de utilizatori afectați.

Ei i-au sfătuit pe dezvoltatori să-și verifice urgent cheile SSH și să elimine orice intrare suspectă, pentru a preveni accesul neautorizat la depozitele lor private de cod.

A suferit Anthropic o breșă de securitate internă?

Specialiștii recomandă o prudență extremă la instalarea de extensii din magazinele integrate. Chiar și platformele cu procese riguroase de verificare pot găzdui din când în când cod malițios.

Utilizatorii ar trebui să valideze identitatea dezvoltatorului și să verifice ID-urile extensiilor în documentația oficială înainte de a da click pe butonul de instalare.

Acest incident scoate în evidență o tendință tot mai alarmantă: infractorii cibernetici iau în vizor uneltele destinate programatorilor pentru a pătrunde în rețelele corporative. Pe măsură ce dezvoltatorii se bazează tot mai mult pe extensii de programare asistate de AI, aceste platforme devin ținte extrem de valoroase.

Ce trebuie să facă programatorii care au instalat extensia?

În viitor, este foarte probabil ca administratorii să impună reguli mult mai stricte de semnare a codului, blocând astfel urcările neautorizate.

Nu, cei de la Anthropic au confirmat oficial că propria lor infrastructură a rămas neatinsă.

Incidentul a fost izolat complet la nivelul fișierului modificat și urcat pe magazinul terț Cursor.

Utilizatorii afectați trebuie sășteargă imediat extensia periculoasă și să inspecteze fișierele de configurare SSH. De asemenea, este puternic recomandată schimbarea oricăror chei SSH care ar fi putut fi compromise în cele 11 ore de expunere.