कर्सर पर एंथ्रोपिक का VS कोड एक्सटेंशन लगभग 12 घंटों के लिए बैक्डर्ड रहा

कई सूत्रों ने शुक्रवार को बताया कि एंथ्रोपिक के क्लाउड मॉडल के लिए एक आधिकारिक VS कोड एक्सटेंशन, जिसे कर्सर मार्केटप्लेस के माध्यम से वितरित किया गया था, एक दुर्भावनापूर्ण अपडेट से प्रभावित हो गया था। इससे लगभग 12 घंटों तक 5,000 डेवलपर्स की मशीनें खतरे में पड़ सकती थीं। शुक्रवार तक, एंथ्रोपिक ने इस घटना के संबंध में ग्राहकों को कोई सार्वजनिक चेतावनी जारी नहीं की थी।

स्वतंत्र शोधकर्ता केविन ब्यूमोंट और सुरक्षा फर्म फोरियन के अनुसार, दुर्भावनापूर्ण संस्करण 2.1.313 को कर्सर पर एंथ्रोपिक के आधिकारिक खाते के माध्यम से वितरित किया गया था। कर्सर ने बताया कि यह अपडेट गुरुवार को उपलब्ध हुआ था और इसके कुछ घंटों बाद संस्करण 2.1.314 जारी किया गया। दोनों में से किसी भी कंपनी ने यह स्पष्ट नहीं किया है कि हमलावरों ने आधिकारिक खाते पर नियंत्रण कैसे हासिल किया।

बैकडोर की क्षमताएं और प्रभाव

कर्सर ने बताया कि संदूषित एक्सटेंशन ने लगातार रिमोट एक्सेस स्थापित करने और होस्ट की जानकारी एकत्र करने का प्रयास किया। सुरक्षा विश्लेषण के अनुसार, यह कोड विंडोज, मैकओएस और लिनक्स वातावरण को लक्षित करने के लिए लिखा गया था और स्थानीय फ़ाइलों तक पहुंचने के लिए टूल के इंटीग्रेटेड डेवलपमेंट एनवायरनमेंट की अनुमति के साथ काम करता था।

रिपोर्ट की गई क्षमताओं और तकनीकी कार्रवाइयों में शामिल हैं:

• होस्ट और उपयोगकर्ता विवरण एकत्र करना, जैसे उपयोगकर्ता नाम, ऑपरेटिंग सिस्टम, पर्यावरण चर नाम, कार्यशील निर्देशिकाएं और सार्वजनिक आईपी पते।
• हमलावर द्वारा नियंत्रित SSH कुंजी को `authorized_keys` में जोड़ने, स्थानीय SSH सेवाओं को सक्षम करने और रिवर्स SSH सुरंग खोलने का प्रयास करना।
• मैकओएस लॉन्चएजेंट्स या विंडोज शेड्यूल्ड टास्क और स्टार्टअप स्क्रिप्ट के माध्यम से निरंतरता तंत्र को कॉन्फ़िगर करना, जिसमें पृष्ठभूमि स्क्रिप्ट लगभग हर 60 सेकंड में पुनः प्रयास करती हैं।
• एक विशिष्ट बीकन एंडपॉइंट पर HTTP पोस्ट अनुरोधों के माध्यम से होस्ट टोही डेटा संचारित करना।

फोरियन ने उल्लेख किया कि दुर्भावनापूर्ण कोड में बग के कारण कुछ परिदृश्यों में निष्फलता हुई—जैसे प्रशासक विशेषाधिकारों के बिना SSH कुंजी जोड़ने में विफल रहना—लेकिन मैलवेयर ने पर्यावरण चर नामों को इकट्ठा करके एक महत्वपूर्ण टोही खतरा पैदा किया जो क्लाउड क्रेडेंशियल्स और एपीआई टोकन को उजागर कर सकता था।

शमन और प्रतिक्रिया

कर्सर के कर्मियों ने कथित तौर पर संक्रमित उपकरणों से कनेक्टिविटी को ब्लॉक करने के लिए रिवर्स शेल सर्वर के होस्टिंग प्रदाता के साथ समन्वय किया, मार्केटप्लेस से संदूषित संस्करण को हटाया, और कुंजियों को घुमाने और एक्सेस नियंत्रणों का ऑडिट करने के लिए VS कोड मार्केटप्लेस को अस्थायी रूप से बंद कर दिया।

• प्रभावित समयसीमा: जिन डेवलपर्स ने गुरुवार को सुबह 5:27 बजे से दोपहर 4:35 बजे के बीच एक्सटेंशन को इंस्टॉल या अपडेट किया, उन्हें खुद को संभावित रूप से प्रभावित मानना ​​चाहिए।
• सत्यापन: उपयोगकर्ता कर्सर और फोरियन द्वारा प्रदान किए गए विशिष्ट क्रिप्टोग्राफिक हैश और आईपी पते सहित समझौते के संकेतकों की समीक्षा कर सकते हैं।
• अनुत्तरित प्रश्न: यह अभी भी स्पष्ट नहीं है कि एंथ्रोपिक ने ग्राहकों को सार्वजनिक रूप से क्यों नहीं चेताया है या आपूर्ति-शृंखला उल्लंघन के मूल कारण का विवरण क्यों नहीं दिया है, क्योंकि किसी भी कंपनी ने प्रेस के सवालों का जवाब नहीं दिया।