Według badaczy złośliwa wersja Claude Code w Open VSX zostawiała tylne wejście SSH

Osoby, które korzystają z rozszerzenia Claude Code for VS Code w Cursorze, VSCodium, Windsurfie lub innym edytorze pobierającym dodatki z rejestru Open VSX (tak opisuje to dokumentacja tych edytorów), powinny sprawdzić, czy nie miały zainstalowanej wersji 2.1.313. Według badaczy z OpenSourceMalware i Phorion ta wersja z Open VSX zawierała kod, który zostawia na komputerze tylne wejście przez SSH. Wersję widać w widoku rozszerzeń edytora, a aktualna wersja w Open VSX to 2.1.314. Według obu raportów problem dotyczy osób, które miały zainstalowaną i wczytaną wersję 2.1.313. Anthropic i Eclipse Foundation, która prowadzi Open VSX, według stanu na 30 października, godz. 8:55, nie skomentowały sprawy.

Co według badaczy robi wersja 2.1.313

Obie firmy opisują, że na początek pliku extension.js dopisano kod, który uruchamia się przy samym wczytaniu rozszerzenia. Phorion pisze, że użytkownik nie musi nic robić w rozszerzeniu, żeby kod zadziałał. Według obu raportów kod:

• dopisuje klucz Ed25519 z komentarzem svc-telemetry do ~/.ssh/authorized_keys,
• próbuje włączyć SSH na macOS, Linuksie i Windowsie,
• zestawia odwrotny tunel do 134.209.82[.]225, który według Phorion działa także po zamknięciu edytora,
• instaluje trwałość, m.in. ~/Library/LaunchAgents/com.apple.sysmond.plist na macOS, wpis @reboot w crontab na Linuksie i zadanie SysMon na Windowsie,
• zbiera m.in. nazwę hosta, użytkownika, globalny e-mail Git i do 40 nazw (nie wartości) zmiennych środowiskowych z KEY, TOKEN czy SECRET.

OpenSourceMalware zaznacza, że dopisany kod nie pobiera z sieci dodatkowych programów ani skryptów, ale według obu firm dostęp SSH pozwala atakującemu zrobić na komputerze wszystko, co może użytkownik. Obie firmy podają ten sam hash extension.js: ecb58cb29078d9646ad1dcdbe51526f2d9cfea06be5fb2ab183e8ecc3ab6bf15.

Czego nie wiadomo

Nie wiadomo, jak złośliwa wersja trafiła do przestrzeni nazw Anthropic w Open VSX. Badacze piszą o oficjalnym rozszerzeniu, ale OpenSourceMalware zastrzega, że pochodzenie przeanalizowanych plików nie zostało ustalone, a sama analiza nie dowodzi włamania do oficjalnych kanałów dystrybucji Anthropic. Nie wiadomo też, od kiedy wersja była dostępna ani ile osób ją pobrało. Licznik Open VSX pokazywał 30 października 62 918 687 pobrań, ale to licznik całego rozszerzenia ze wszystkich wersji, a nie wersji 2.1.313.

Wersji 2.1.313 nie ma już w API Open VSX. Phorion twierdzi, że Anthropic usunął ją z Open VSX oraz wycofał wersje 2.1.313 z npm i VS Code Marketplace, ale sam Anthropic tego nie ogłosił. Złośliwość badacze potwierdzili tylko dla paczki z Open VSX.

Co zalecają badacze

Phorion radzi:

• sprawdzić katalog ~/.<ide>/extensions/anthropic.claude-code-2.1.313-<platforma> i przy wykryciu potraktować sprawę jak incydent,
• pamiętać, że samo odinstalowanie rozszerzenia nie usuwa tylnego wejścia,
• zabić procesy tunelu, usunąć wpisy trwałości oraz pliki ~/.config/.smt i .smtk,
• usunąć klucz svc-telemetry z authorized_keys, skasować /tmp/.stk_* i sprawdzić, czy nie włączono zdalnego logowania,
• jeśli SSH było włączone albo widać logowania, zmienić hasła i tokeny dostępne z konta. Według Phorion logowania przez tunel wyglądają w logach jak połączenia z localhost.

OpenSourceMalware proponuje inną kolejność. Jeśli rozszerzenie było wczytane, firma zaleca odłączyć komputer od sieci, zabezpieczyć dowody i zablokować 134.209.82.225 na portach 22 i 8099. Rozszerzenie i trwałość usuwać dopiero potem, a dane logowania zmieniać z czystego komputera. Firma dodaje, że bezpieczniej jest zainstalować system od nowa, niż zakładać, że usunięcie znanych plików przywraca zaufanie do komputera.

Dla większości osób najważniejsze jest pierwsze sprawdzenie wersji. Jeśli 2.1.313 była zainstalowana, samo kliknięcie „odinstaluj” według Phorion nie rozwiązuje problemu.