גרסה זדונית של תוסף Claude Code במאגר Open VSX מתקינה דלת אחורית ל-SSH במחשבי מפתחים

חוקרי אבטחה מצאו במאגר התוספים Open VSX גרסה של תוסף Claude Code, כלי הפיתוח של אנתרופיק, שמישהו שינה. לפי הממצאים, הגרסה הזו נותנת לתוקפים גישה קבועה מרחוק למחשבי המפתחים שהתקינו אותה. את הממצאים פרסם האתר Cybersecurity News, והם מבוססים על ניתוח טכני של חברת OpenSourceMalware.

חשוב להבהיר את היקף האירוע. לפי הדיווח, הממצאים מאשרים שקיים קובץ זדוני. הם לא מוכיחים שהגרסה הרשמית של אנתרופיק ב-Visual Studio Marketplace נפרצה, וגם לא שמערכות ההפצה של החברה נפגעו. עדיין לא ידוע איך החבילה שונתה. לחומרים שעמדו לרשותנו לא צורפה תגובה של אנתרופיק.

מה התוסף הזדוני עושה

החבילה שנבדקה מזוהה כ-anthropic.claude-code בגרסה 2.1.313. הדוגמה שנותחה כוונה למחשבי Mac עם מעבדי Apple Silicon, אבל בקוד שהוחדר יש גם מסלולים ל-Linux ול-Windows.

לפי הניתוח, התוקפים הוסיפו 66 שורות של JavaScript לתחילת הקובץ extension.js, לפני הקוד הלגיטימי של התוסף. הקוד הזדוני רץ ברגע שהתוסף נטען, כך שהמפתח לא צריך לפתוח שיחה עם Claude כדי שהוא יופעל. רוב השגיאות מושתקות, ולכן התוסף ממשיך לעבוד כרגיל גם כשחלק מהשלבים הזדוניים נכשלים. הדיווח משווה זאת לפריצה הקודמת לתוסף Nx Console, ומציין שההשוואה מצביעה על סיכון משותף בלבד ולא על כך שמאחורי שני האירועים עומדים אותם תוקפים.

השתל מוסיף לקובץ authorized_keys מפתח ציבורי מסוג Ed25519 שבשליטת התוקפים, עם התיאור svc-telemetry. לאחר מכן הוא מנסה להפעיל את שירות ה-SSH: הגדרת Remote Login ב-macOS, שירות SSH ב-Linux, או התקנה של OpenSSH Server דרך PowerShell ב-Windows. בשלב הבא הוא פותח מנהרת SSH הפוכה לכתובת 134.209.82.225. המשמעות היא שהתוקף יכול להתחבר מהשרת שלו ישר לשירות ה-SSH במחשב הקורבן, בתנאי שהשירות פעיל. אם החיבור נופל, המנהרה מתחברת מחדש אחרי 60 שניות.

כדי להישאר במחשב גם אחרי כיבוי, ב-macOS הקוד יוצר LaunchAgent בשם com.apple.sysmond.plist. למרות השם, זה לא רכיב של אפל. ב-Linux הוא מוסיף משימת cron שרצה בכל אתחול, וב-Windows הוא מנסה ליצור משימת הפעלה בשם SysMon עם הרשאות SYSTEM. החוקרים מדגישים שמדובר במסלולי קוד שקיימים בתוסף, ואין הוכחה שההדבקה הצליחה בכל מערכות ההפעלה.

הקוד אוסף גם את שם המחשב, שם המשתמש, מערכת ההפעלה, כתובת הדוא"ל של המשתמש ב-Git, ואת השמות של עד 40 משתני סביבה שעשויים להכיל מידע רגיש. לפי הדיווח, הערכים של המשתנים האלה לא נכללים ישירות בשידור הראשוני. המידע נשלח ב-HTTP לא מוצפן לשרת של התוקפים. הקוד לא מוריד קבצי הרצה נוספים, אבל לפי הדיווח, גישת ה-SSH שהוא פותח יכולה לשמש את התוקפים לפעולות בהמשך.

מה כדאי לבדוק

לפי הדיווח, מומלץ לבדוק אם בקובץ authorized_keys יש מפתח עם התיאור svc-telemetry, לחפש את הקבצים שהקוד יוצר כדי לשרוד אתחול, ולבדוק אם רצים תהליכי ssh או autossh שפותחים מנהרה הפוכה. OpenSourceMalware פרסמה גם חתימות (hashes) שבעזרתן אפשר לזהות את קובץ ה-JavaScript ששונה.

למה זה חשוב

Open VSX הוא מאגר תוספים חלופי, וככל הנראה משתמשים בו בעיקר עורכי קוד מבוססי VS Code שלא עובדים מול החנות של מיקרוסופט. סביר להניח שזה גם מה שהופך אותו למטרה נוחה: חבילה שנושאת שם של מפרסם מוכר יכולה להיראות אמינה גם אם לא הגיעה ממנו. זה לא האירוע הראשון כזה. לפי הדיווח, גם תוספים של Trivy ב-Open VSX הותקפו בעבר והסתירו פעילות לא רצויה מאחורי כלי פיתוח שעבדו כרגיל. נראה שהמקרה הנוכחי ממחיש כמה ממשק העבודה של המפתח הפך ליעד: כלי AI לכתיבת קוד מקבלים גישה רחבה למחשב, ותוסף שנראה רשמי יכול לפתוח לתוקף דלת למחשב בלי שהמשתמש ישים לב.