कर्सर मार्केटप्लेस पर एसएसएच बैकडोर के साथ ट्रोजनित क्लाउड कोड एक्सटेंशन वितरित

साइबर सुरक्षा शोधकर्ताओं ने खुलासा किया है कि एंथ्रोपिक के आधिकारिक क्लाउड कोड एक्सटेंशन का एक ट्रोजनित संस्करण कर्सर मार्केटप्लेस के माध्यम से वैध अपडेट के रूप में वितरित किया गया था। इस घटना में दुर्भावनापूर्ण संस्करण 2.1.312 और 2.1.313 शामिल थे, जिन्होंने प्रभावित प्रणालियों पर एक लगातार एसएसएच बैकडोर स्थापित करने का प्रयास किया।

खुलासा किए गए विवरण के अनुसार, अनधिकृत अपडेट को एंथ्रोपिक की वैध एक्सटेंशन आईडी के तहत प्रकाशित किया गया था। कर्सर ने समझौता किए गए पैकेज को हटाने के लिए खोज के बाद अपने मार्केटप्लेस को अस्थायी रूप से बंद कर दिया। विश्लेषकों ने उल्लेख किया कि दुर्भावनापूर्ण अपडेट कर्सर आईडीई एक्सटेंशन मार्केटप्लेस तक सीमित था, और माइक्रोसॉफ्ट के आधिकारिक वीएस कोड मार्केटप्लेस या ओपन वीएसएक्स रजिस्ट्री पर इसके प्रभाव का कोई सबूत नहीं मिला है।

दुर्भावनापूर्ण एक्सटेंशन कैसे काम करता है

सुरक्षा विश्लेषण से पता चला कि समझौता किए गए पैकेज में एक जावास्क्रिप्ट लोडर शामिल था जिसे स्टार्टअप और वेबव्यू सक्रियण पर निष्पादित करने के लिए डिज़ाइन किया गया था:

• एसएसएच कुंजी इंजेक्शन: उपयोगकर्ता की `~/.ssh/authorized_keys` फ़ाइल में "svc-telemetry" लेबल वाली एक हमलावर-नियंत्रित कुंजी जोड़ता है।
• रिवर्स टनलिंग: एक बाहरी आईपी पते (`134.209.82[.]225`) की ओर इशारा करते हुए एक रिवर्स एसएसएच सुरंग स्थापित करने का प्रयास करता है।
• पर्सिस्टेंस मैकेनिज्म: ऑपरेटिंग सिस्टम के आधार पर अनुसूचित कार्यों, क्रॉन्टैब प्रविष्टियों या लॉन्चएजेंट्स के माध्यम से प्लेटफ़ॉर्म-विशिष्ट पर्सिस्टेंस स्थापित करता है।
• डेटा निष्कासन: अनएक्रिप्टेड एचटीटीपी एंडपॉइंट पर होम निर्देशिका, वर्तमान कार्य निर्देशिका, वैश्विक गिट ईमेल और पर्यावरण चर नामों को प्रसारित करता है जिनमें KEY, TOKEN या SECRET जैसे शब्द शामिल हैं।

उद्योग विश्लेषकों ने उल्लेख किया कि हालांकि स्थानीय एसएसएच सेवा चालू करने के लिए आम तौर पर प्रशासक अधिकारों की आवश्यकता होती है—जो एक्सटेंशन के पास अधिकांश मैकओएस और विंडोज होस्ट पर नहीं थे—बैकडोर अभी भी अनधिकृत एसएसएच कुंजी लिखने, पर्सिस्टेंस आर्टिफैक्ट्स बनाने और टोही डेटा भेजने में सफल रहा।

प्रभाव और प्रतिक्रिया

कर्सर ने बताया कि 29 अक्टूबर, 2026 को दुर्भावनापूर्ण संस्करण लाइव होने के दौरान अधिकतम 5,000 उपयोगकर्ता प्रभावित हुए थे। एंथ्रोपिक ने स्पष्ट किया कि उसके अपने आंतरिक सिस्टम से कोई समझौता नहीं किया गया था और खतरा पैदा करने वाले अभिनेता ने छेड़छाड़ किए गए पैकेज को प्रकाशित करने के लिए बाहरी मार्केटप्लेस पहुंच का उपयोग किया था।

इसके जवाब में, कर्सर ने अपनी कुंजियों को घुमाया, मार्केटप्लेस का पुनर्निर्माण किया और हमलावर के सर्वर बुनियादी ढांचे को अक्षम कर दिया। माइक्रोसॉफ्ट और सुरक्षा फर्मों ने प्रभावित संगठनों से सिस्टम लॉग सत्यापित करने, प्रभावित होस्ट को अलग करने, अनधिकृत एसएसएच कुंजियों और पर्सिस्टेंस आर्टिफैक्ट्स को हटाने और उजागर क्रेडेंशियल्स को घुमाने का आग्रह किया है।