कर्सर, जो अपने नाम का कोड एडिटर विकसित करता है, ने एंथ्रोपिक द्वारा प्रदान किए गए क्लॉड कोड एक्सटेंशन के एक संशोधित संस्करण का पता लगाया और उसे हटा दिया, जिसमें पांच हजार उपयोगकर्ताओं तक को प्रभावित करने की क्षमता थी। इस दुर्भावनापूर्ण पैकेज का उद्देश्य कंप्यूटर से डेटा एकत्र करना और मशीन तक रिमोट एक्सेस की सुविधा के लिए SSH के माध्यम से एक बैकडोर स्थापित करना था।
भ्रष्ट संस्करण, जिसे Anthropic.claude-code 2.1.313 के रूप में पहचाना गया, 29 अक्टूबर को ब्रासीलिया समय के अनुसार सुबह 6:27 बजे से शाम 5:35 बजे के बीच प्लेटफॉर्म के एक्सटेंशन मार्केटप्लेस पर उपलब्ध था। घटना के बारे में पता चलने के बाद, कंपनी, जिसके पास एलोन मस्क की स्पेसएक्स में हिस्सेदारी है, ने एक्सटेंशन को हटा दिया और अस्थायी रूप से मार्केटप्लेस के संचालन को निलंबित कर दिया।
कंपनी के अनुसार, अन्य पैकेजों में हेरफेर का कोई सबूत नहीं मिला। कर्सर ने मार्केटप्लेस को फिर से सक्रिय करने से पहले उसका पुनर्निर्माण भी किया। जिन उपयोगकर्ताओं पर इस खराबी का असर पड़ सकता है, उन्हें सीधे प्लेटफॉर्म के माध्यम से संपर्क करना चाहिए।
कर्सर द्वारा जारी चेतावनी में स्पष्ट किया गया है कि हानिकारक संस्करण एंथ्रोपिक द्वारा नहीं बनाया गया था, बल्कि यह क्लॉड कोड पैकेज के रूप में छिपा हुआ था, जिसमें एक ऐसा कोड था जो इसे स्थापित करने वाले डिवाइस को खतरे में डाल सकता था। इंस्टॉलेशन के बाद, सॉफ्टवेयर उपयोगकर्ता और पीसी के नाम, ऑपरेटिंग सिस्टम, प्रोसेसर आर्किटेक्चर, कार्य निर्देशिकाएं, गिट ईमेल और आईपी पते जैसी संवेदनशील जानकारी एकत्र करना शुरू कर देता था।
बाद में, एक्सटेंशन हमलावर के नियंत्रण में एक SSH कुंजी, जिसका नाम svc-telemetry था, को शामिल करने का प्रयास करता था, जिसका उद्देश्य एक प्रवेश बिंदु बनाना था जिसका भविष्य में उपयोग किया जा सकता था। इसी कुंजी का उपयोग करके, मैलवेयर एक बाहरी सर्वर तक रिवर्स टनल स्थापित करने की कोशिश करता था, जिससे हमलावर को मशीन तक दूरस्थ रूप से पहुंचने की क्षमता मिल जाती थी।
पुनः आरंभ होने के बाद भी इस पहुंच को बनाए रखने के लिए, कोड विंडोज और मैकओएस दोनों पर दृढ़ता तंत्र लागू करता था। ये रूटीन लगभग 60 सेकंड के अंतराल पर कनेक्शन को फिर से स्थापित करने का प्रयास करने के लिए कॉन्फ़िगर किए गए थे। इसके अलावा, एकत्र की गई जानकारी का कुछ हिस्सा और सर्वर के साथ कनेक्शन की स्थिति हमलावर द्वारा प्रबंधित बुनियादी ढांचे पर प्रसारित की जाती थी।
हालांकि, अधिकांश कंप्यूटरों पर रिमोट एक्सेस का प्रयास सफल नहीं हो पाया। प्लेटफॉर्म ने सूचित किया कि कोड में खामियां थीं और SSH सेवा को सक्रिय करने के लिए उच्च अनुमतियों की आवश्यकता थी। इसलिए, जोखिम केवल उन उपकरणों पर काफी अधिक था जहां कर्सर को व्यवस्थापक या रूट अनुमतियाँ दी गई थीं। इन परिदृश्यों में भी, कंपनी सलाह देती है कि जिस किसी व्यक्ति ने समझौता किया गया संस्करण स्थापित किया है, वह सिस्टम की पूरी जांच करे। यह सिफारिश उन लोगों पर लागू होती है जिन्होंने उस अवधि के दौरान Anthropic.claude-code एक्सटेंशन का संस्करण 2.1.313 स्थापित या अपडेट किया जब यह उपलब्ध था। उपकरण की जांच करने का एक तरीका SSH सेटिंग्स में मैलवेयर द्वारा जोड़े गए svc-telemetry कुंजी की तलाश करना है।
