Yapay zeka şirketi Anthropic, Cursor marketinde yayınlanan kötü amaçlı bir Claude Code eklentisinin kendi sistemlerine yönelik bir sızıntıdan kaynaklandığı yönündeki iddiaları kesin bir dille reddetti. Perşembe günü ortaya çıkan ve yaklaşık 5.000 geliştiriciyi etkilediği belirlenen bu olay, siber güvenlik dünyasında geniş yankı uyandırdı. Anthropic teknik ekibinden Felix Rieseberg, söz konusu zararlı yazılımın şirket altyapısı veya çalışan cihazlarıyla herhangi bir bağlantısı olmadığını açıkladı. Bir saldırganın, Cursor’ın pazar yerine doğrudan erişim sağlayarak resmi olmayan, modifiye edilmiş bir eklenti sürümünü yüklediği ve bu durumun yalnızca Cursor kullanıcılarını etkilediği bildirildi.
- Anthropic, Cursor marketindeki saldırının kendi sistemlerinden kaynaklanmadığını resmi olarak doğruladı.
- Kötü amaçlı eklenti yaklaşık 11 saat boyunca markette kalarak 5.000’den fazla geliştiricinin bilgisayarına bulaştı.
- Saldırganlar, kullanıcıların Git verilerini ve IP adreslerini hedefleyen bir SSH arka kapısı yerleştirdi.
- Cursor yönetimi, güvenlik önlemi olarak tüm VSCode pazar yerini geçici olarak kapattı ve sistemlerini güncelledi.
Saldırının Teknik Detayları Ortaya Çıkarıldı
Phorion adlı siber güvenlik firması tarafından tespit edilen zararlı eklenti, Visual Studio Code kullanıcılarını hedef alan karmaşık bir SSH arka kapısı içeriyordu. Windows, macOS ve Linux işletim sistemleri üzerinde çalışan bu kötü amaçlı sürüm (2.1.313), sistem bilgilerini ele geçirmek üzere tasarlandı. Yapılan analizler, saldırganların kullanıcı adı, Git e-posta adresleri ve halka açık IP bilgileri gibi hassas verileri topladığını gösterdi. Ayrıca, sistemde bir ters SSH tüneli açma girişiminde bulunulduğu da tespit edildi.
Cursor yönetimi tarafından yapılan açıklamalara göre, bu eklenti Perşembe günü yerel saatle 02:27 ile 13:35 arasında yaklaşık 11 saat boyunca indirilebilir durumdaydı. Neyse ki, saldırganların hedeflediği ters SSH tüneli kurulumu, çoğu durumda yönetici yetkisi gerektirdiği için başarılı olamadı. Ancak bu durum, kullanıcıların tamamen güvende olduğu anlamına gelmiyor; çünkü eklenti, yönetici yetkisi gerektirmeyen diğer verileri çalmaya devam etti.
Güvenlik Önlemleri Gözden Geçiriliyor
Saldırı haberinin ardından Cursor, kötü amaçlı sürümü derhal pazar yerinden kaldırdı ve geniş çaplı bir temizlik operasyonu başlattı. Şirket, tüm VSCode pazar yerini geçici olarak kapatarak herhangi bir başka zararlı yazılımın bulunmadığından emin olmak için detaylı bir güvenlik taraması gerçekleştirdi. Ayrıca, tüm erişim anahtarlarını sıfırlayan şirket, saldırganın sunucularına olan bağlantıları engellemek için bulut hizmet sağlayıcılarıyla iş birliği yaptı.
Uzmanlar, sadece en güncel eklentiyi yüklemenin cihazdaki kalıcılık mekanizmalarını silmek için yeterli olmadığını vurguluyor. Geliştiricilerin, sistemlerinde herhangi bir SSH tüneli veya arka kapı kalmadığından emin olmak için Cursor tarafından paylaşılan temizleme betiklerini kullanmaları ve kapsamlı bir güvenlik taraması yapmaları kritik önem taşıyor. Anthropic ve Cursor, olayın nasıl gerçekleştiğine dair resmi soruşturmalarını sürdürürken, pazar yeri güvenliğinin gelecekte nasıl korunacağı merak konusu olmaya devam ediyor.
Sizce geliştirici platformları, üçüncü taraf eklentilerin güvenliğini sağlamak için hangi ek önlemleri almalıdır? Benzer bir güvenlik riskiyle karşılaştıysanız deneyimlerinizi ve konu hakkındaki düşüncelerinizi aşağıya yorum olarak bırakabilirsiniz.