Anthropic’ning Cursor’dagi rasmiy kengaytmasi 12 soat davomida zararli kod bilan tarqatildi

Anthropic kompaniyasining Claude sun'iy intellekt modeli uchun mo'ljallangan rasmiy VS Code kengaytmasi ta'minot zanjiri hujumiga (supply-chain compromise) uchradi. Cursor AI dasturlash muhiti marketpleysi orqali tarqatilgan 2.1.313 versiyali zararli kengaytma qariyb 12 soat davomida erkin yuklab olish uchun ochiq turgan. Mutaxassislarning xabar berishicha, ushbu vaqt oralig'ida zararli paket 5 000 tagacha dasturchining kompyuteriga o'rnatilgan bo'lishi mumkin.

Xavfsizlik tadqiqotchilarining aniqlashicha, zararli kod Anthropic kompaniyasining Cursor'dagi rasmiy akkaunti orqali to'g'ridan-to'g'ri joylashtirilgan. Kengaytmalar Cursor muhitida odatda sukut bo'yicha avtomatik tarzda yangilangani sababli, ko'plab foydalanuvchilar zararlangan versiyani bilmagan holda qabul qilib olishgan. Hozircha tajovuzkorlar Anthropic rasmiy hisobiga qanday qilib kirish huquqini qo'lga kiritgani noma'lumligicha qolmoqda.

Cursor ma'lumotlariga ko'ra, zararli dastur Windows, macOS va Linux tizimlarida teskari SSH tunnel ochish orqali doimiy bekdor o'rnatishga harakat qilgan. Dasturlash muhiti (IDE) ruxsatlari bilan ishlaydigan ushbu kengaytma mahalliy fayllar, manba kodlari hamda bulutli xizmatlarning API tokenlari va o'zgaruvchilarini o'g'irlash imkoniyatiga ega bo'lgan. Biroq kod ichidagi ayrim xatoliklar tufayli bekdor barcha tizimlarda ham to'liq ishga tushmagan.

Voqea aniqlangach, Cursor zararli versiyani marketpleysdan olib tashladi va serverlar aloqasini uzish choralarini ko'rdi, shuningdek yangilangan 2.1.314 xavfsiz versiyasi chiqarildi. Kompaniya xavfsizlik tekshiruvlarini o'tkazib, kalitlarni yangilagan. Shunga qaramay, Anthropic hozircha ushbu hodisa yuzasidan o'z mijozlariga rasmiy ogohlantirish bermagan.