Συναγερμός στην κυβερνοασφάλεια: Παραβιάστηκε επίσημη επέκταση της Anthropic στο Cursor με backdoor για 12 ώρες

Σοβαρό περιστατικό παραβίασης της εφοδιαστικής αλυσίδας λογισμικού (supply-chain attack) πλήττει την κοινότητα των προγραμματιστών, καθώς μια επίσημη επέκταση του VS Code για το μοντέλο τεχνητής νοημοσύνης Claude της Anthropic βρέθηκε μολυσμένη με κακόβουλο λογισμικό (backdoor). Το περιστατικό έλαβε χώρα στην πλατφόρμα του Cursor, ενός δημοφιλούς περιβάλλοντος ανάπτυξης ενισχυμένου με εργαλεία τεχνητής νοημοσύνης, και απείλησε τα συστήματα έως και 5.000 προγραμματιστών για διάστημα σχεδόν 12 ωρών.

Πώς εξελίχθηκε η επίθεση στην πλατφόρμα του Cursor

Η κακόβουλη έκδοση 2.1.313 διανεμήθηκε απευθείας μέσω του επίσημου λογαριασμού της Anthropic στο marketplace του Cursor, αντικαθιστώντας τη νόμιμη προηγούμενη έκδοση. Επειδή οι επεκτάσεις στο Cursor είναι ρυθμισμένες από προεπιλογή να ενημερώνονται αυτόματα, το προβληματικό πακέτο εγκαταστάθηκε εν αγνοία χιλιάδων χρηστών. Λίγες ώρες αργότερα, η εταιρεία διέθεσε την έκδοση 2.1.314 για να αντικαταστήσει το μολυσμένο αρχείο, ωστόσο η ζημιά είχε ήδη αρχίσει να συντελείται.

Ο ανεξάρτητος ερευνητής κυβερνοασφάλειας Κέβιν Μπόμοντ και ο Λουκ Ρόμπερτς, συνιδρυτής και CTO της εταιρείας ασφαλείας Phorian, επιβεβαίωσαν ότι η διανομή έγινε από τα επίσημα κανάλια. «Επρόκειτο για έναν κλασικό συμβιβασμό εφοδιαστικής αλυσίδας, όπου ο επιτιθέμενος απέκτησε πρόσβαση στο επίσημο κανάλι διάθεσης», ανέφερε χαρακτηριστικά ο Ρόμπερτς, υπογραμμίζοντας τη σοβαρότητα του ζητήματος.

Οι δυνατότητες του backdoor και η υποκλοπή δεδομένων

Το κακόβουλο λογισμικό είχε σχεδιαστεί να λειτουργεί σε περιβάλλοντα Windows, macOS και Linux. Σύμφωνα με την τεχνική ανάλυση της Cursor, η επέκταση επιχειρούσε να εγκαταστήσει μια μόνιμη «κερκόπορτα» SSH, προσθέτοντας ένα κλειδί ελεγχόμενο από τον εισβολέα, ενεργοποιώντας την τοπική υπηρεσία SSH και δημιουργώντας ένα αντίστροφο τούνελ (reverse SSH tunnel). Καθώς οι επεκτάσεις εκτελούνται με τα πλήρη δικαιώματα του περιβάλλοντος ανάπτυξης (IDE), οι επιτιθέμενοι μπορούσαν να αποκτήσουν πρόσβαση σε πηγαίο κώδικα, τοπικά αρχεία και εργαλεία των χρηστών.

Επιπλέον, η Phorian επεσήμανε ότι το κακόβουλο φορτίο κατέγραφε ονόματα μεταβλητών συστήματος. Αυτή η διαδικασία επέτρεπε στους δράστες να εντοπίζουν άμεσα διαπιστευτήρια cloud και κλειδιά API (API tokens), ώστε να ιεραρχούν τους πιο ελκυστικούς στόχους για επόμενες κυβερνοεπιθέσεις. Παρότι ορισμένα σφάλματα στον κώδικα εμπόδισαν την πλήρη λειτουργία του σε συγκεκριμένα συστήματα Windows και macOS, η απειλή αξιολογείται ως εξαιρετικά υψηλή.

Άμεση αντίδραση της Cursor και αναπάντητα ερωτήματα για την Anthropic

Μόλις έγινε αντιληπτή η μόλυνση, η Cursor προχώρησε σε άμεση συνεργασία με τον πάροχο cloud που φιλοξενούσε τον διακομιστή των επιτιθέμενων, αποκόπτοντας την επικοινωνία των μολυσμένων μηχανημάτων. Παράλληλα, η εταιρεία ανέστειλε προσωρινά τη λειτουργία του marketplace, προχώρησε σε ανάκληση και αντικατάσταση των κλειδιών ασφαλείας και διεξήγαγε εξονυχιστικό έλεγχο για να βεβαιωθεί ότι δεν υπήρχαν άλλες παραβιασμένες επεκτάσεις.

Ωστόσο, ερωτήματα εγείρει η στάση της Anthropic, η οποία μέχρι στιγμής δεν έχει προβεί σε επίσημη δημόσια ειδοποίηση προς τους χρήστες της ούτε έχει διευκρινίσει με ποιον τρόπο παραβιάστηκε ο επίσημος λογαριασμός της. Οι ειδικοί συνιστούν σε όσους προγραμματιστές εγκατέστησαν ή ενημέρωσαν την εν λόγω επέκταση στο συγκεκριμένο χρονικό παράθυρο να θεωρήσουν τα συστήματά τους πιθανώς παραβιασμένα, να ελέγξουν τα αρχεία καταγραφής και να προχωρήσουν σε άμεση ανανέωση των διαπιστευτηρίων τους.