Cursor đã xóa phiên bản độc hại của tiện ích mở rộng Claude Code của Anthropic khỏi thị trường tiện ích mở rộng của nó sau khi phát hiện ra gói này đã được sửa đổi để cài đặt cửa hậu SSH liên tục trên máy của nhà phát triển. Trong một thông báo bảo mật được công bố vào ngày 29 tháng 10, Cursor cho biết gói bị trojan hóa – được liệt kê là Anthropic.claude-code phiên bản 2.1.313 – không phải do Anthropic phát triển và có nhiều nhất 5.000 người dùng bị ảnh hưởng. Theo Reuters, công ty đang tiếp cận trực tiếp với những người dùng đó.
Tiết lộ này là một lời nhắc nhở chói tai rằng các nhà phát triển công cụ mã hóa AI hiện tin tưởng vào mã nguồn, thông tin xác thực và quyền truy cập shell của họ đều là mục tiêu của chuỗi cung ứng. Để biết thêm bối cảnh về áp lực bảo mật ngày càng tăng xung quanh công cụ dành cho nhà phát triển AI, hãy xem thông tin về ngành AI của chúng tôi.
Cửa sổ phân phối kéo dài hai giờ
Theo dòng thời gian của Cursor, phiên bản độc hại của tiện ích mở rộng đã có mặt trên thị trường trong khoảng thời gian từ khoảng 2:27 sáng theo giờ PT đến 1:35 chiều. PT vào ngày 29 tháng 10 - khoảng thời gian khoảng 11 giờ. Trong khoảng thời gian đó, bất kỳ nhà phát triển nào đã cài đặt hoặc cập nhật lên phiên bản 2.1.313 của tiện ích mở rộng Claude Code đều nhận được gói giả mạo thay vì mã do Anthropic sản xuất.
Cursor cho biết họ đã loại bỏ phiên bản độc hại khỏi thị trường ngay sau khi phát hiện và chặn việc phân phối thêm. Sau đó, công ty đã tiến thêm một bước nữa, tạm thời đóng cửa toàn bộ thị trường mở rộng của mình theo những gì họ mô tả là hết sức thận trọng.
Tiện ích mở rộng độc hại đã làm gì
Nhóm bảo mật của Cursor đã ghi lại hành vi của tiện ích mở rộng một cách chi tiết bất thường. Sau khi được cài đặt, gói này chạy mã nhằm cố gắng thiết lập một cửa hậu liên tục qua nhiều giai đoạn:
- Trinh sát. Tiện ích mở rộng đã thu thập tên máy chủ, tên người dùng, hệ điều hành, kiến trúc, đường dẫn thư mục chính, tên biến môi trường, thư mục làm việc, email Git đã định cấu hình và địa chỉ IP công cộng.
- Chèn khóa SSH. Nó đã cố gắng thêm khóa SSH do kẻ tấn công kiểm soát vào tệp `authorized_keys` của máy, kích hoạt dịch vụ SSH cục bộ và mở một đường hầm SSH ngược trở lại máy chủ do kẻ tấn công kiểm soát.
- Kiên trì. Các tập lệnh nền thử lại đường hầm ngược khoảng 60 giây một lần. Trên macOS, phần mềm độc hại đã cố gắng tạo đường hầm liên tục thông qua LaunchAgent; trên Windows, nó đã cố gắng đăng ký một tác vụ theo lịch trình đang chạy dưới dạng HỆ THỐNG, với dự phòng tập lệnh khởi động.
- Beaconing. Máy bị nhiễm đã báo cáo chi tiết máy chủ và trạng thái cửa sau thông qua yêu cầu HTTP POST tới điểm cuối `/beacon` trên cổng 8099.
Tại sao thiệt hại có thể bị hạn chế
Có hai yếu tố giảm nhẹ quan trọng. Đầu tiên, việc kích hoạt dịch vụ SSH cục bộ yêu cầu quyền quản trị viên, điều mà tiện ích mở rộng độc hại không có trên hầu hết các máy macOS và Windows. Cursor lưu ý rằng ngoài những trường hợp rất bất thường khi trình chỉnh sửa được khởi động với đặc quyền của quản trị viên, lỗi trong mã độc đã khiến bước này không thành công — có nghĩa là kẻ tấn công có thể không thể đăng nhập qua đường hầm trên các máy chủ đó. Tuy nhiên, tiện ích mở rộng này vẫn có thể thêm khóa SSH của kẻ tấn công, cài đặt các cơ chế lưu trữ lâu dài của nó và gửi thông tin chi tiết về máy chủ đến máy chủ của kẻ tấn công.
Thứ hai, cơ sở hạ tầng của kẻ tấn công hiện đang ngoại tuyến. Cursor cho biết họ đã làm việc với nhà cung cấp đám mây lưu trữ máy chủ chỉ huy và kiểm soát để gỡ bỏ nó, do đó, lớp vỏ đảo ngược và đèn hiệu chi tiết máy chủ không còn hoạt động.
Công ty cũng tuyên bố rằng họ không có bằng chứng nào cho thấy bất kỳ phiên bản mở rộng nào khác hoặc các kênh phân phối chính thức của Anthropic đều bị ảnh hưởng.
Đóng cửa, kiểm tra và xây dựng lại thị trường
Phản hồi của con trỏ vượt xa việc loại bỏ gói xấu duy nhất. Công ty cho biết họ đã tiến hành kiểm tra toàn bộ quyền truy cập thị trường và xác nhận rằng không có tiện ích mở rộng nào khác bị giả mạo, thay đổi khóa, xây dựng lại cơ sở hạ tầng thị trường và đưa nó trở lại trực tuyến. Các nhà phát triển đã cài đặt hoặc cập nhật lên phiên bản 2.1.313 trong thời gian hiển thị đang được khuyến khích thực hiện theo các bước khắc phục và các dấu hiệu xâm phạm — bao gồm hoạt động SSH, tệp và cơ chế lưu trữ cũng như hoạt động xử lý — mà Cursor đã xuất bản cùng với thông báo của mình.
Cảnh báo cho hệ sinh thái công cụ AI
Vụ việc minh họa tính kinh tế của sự phát triển được hỗ trợ bởi AI đã thay đổi tính toán của những kẻ tấn công như thế nào. Một phiên bản bị nhiễm trojan của một tiện ích mở rộng phổ biến, tồn tại trong vài giờ, có khả năng tiếp cận hàng nghìn máy trạm của nhà phát triển — các máy thường chứa mã nguồn, thông tin xác thực trên đám mây và quyền truy cập vào hệ thống sản xuất.
Nó cũng nêu bật sự khác biệt giữa các kênh phân phối chính thức và thị trường của bên thứ ba. Tiện ích mở rộng Claude Code của Anthropic được phân phối thông qua các kênh đã được thiết lập, nhưng Cursor vận hành thị trường riêng của mình cho trình soạn thảo dựa trên VS Code và chính danh sách của thị trường đó đã bị xâm phạm. Khi trợ lý mã hóa AI trở thành thiết bị tiêu chuẩn trong toàn ngành công nghiệp phần mềm, tính toàn vẹn của các cơ quan đăng ký phân phối chúng sẽ trở thành một vành đai bảo mật theo đúng nghĩa của nó - một vành đai mà cho đến tuần này, tương đối ít tổ chức nghĩ đến việc kiểm tra.
Đối với tối đa 5.000 người dùng bị ảnh hưởng, ưu tiên trước mắt là xem qua danh sách kiểm tra khắc phục của Cursor. Đối với những người khác, tập này là lý do để xem xét tiện ích mở rộng nào có quyền truy cập sâu vào môi trường phát triển của chúng và suy nghĩ kỹ trước khi để bản cập nhật cài đặt một cách âm thầm.
---
Nhận tin tức, phân tích và đột phá mới nhất về AI — tất cả ở cùng một nơi.
Đọc thêm tin tức về AI →
