Cursor kod editöründeki resmî Anthropic Claude eklentisine eklenen arka kapı, 5 bine yakın geliştiricinin makinesine sızarak sistem verilerini hedef aldı.
Üç noktada haber
Zararlı 2.1.313 sürümü Anthropic'in Cursor üzerindeki resmî hesabı üzerinden dağıtıldı ve en fazla 5 bin kullanıcıyı etkiledi.
Eklenti, Windows, macOS ve Linux sistemlerinde ters SSH tüneli açarak API anahtarları ile bulut kimlik bilgilerini toplamayı amaçladı.
Cursor yönetimi mağazayı geçici olarak kapatıp anahtarları yeniledi ve zararlı sunucuya erişimi engelledi.
Yapay zekâ destekli kod editörü Cursor üzerinde dağıtılan resmî Anthropic Claude eklentisinde zararlı arka kapı tespit edildi. Güvenlik kaynaklarının bildirdiğine göre 2.1.313 numaralı kötü amaçlı sürüm, Anthropic'in onaylı mağaza hesabı üzerinden dağıtıma girdi ve en fazla 5 bin geliştiricinin bilgisayarını doğrudan tehdit etti. Eklentilerin Cursor içinde varsayılan olarak otomatik güncellenmesi nedeniyle, söz konusu sürüm kullanıcılara fark edilmeden yüklendi.
## Saldırının Boyutu ve Çalışma Biçimi Cursor tarafından paylaşılan teknik bulgulara göre zararlı eklenti, geliştiricinin bilgisayarına saldırgan kontrolündeki bir SSH anahtarı ekleyerek yerel SSH servisini devreye aldı ve ters SSH tüneli açtı. Windows, macOS ve Linux sistemlerini hedefleyen kod, editör izinleriyle çalıştığı için yerel kaynak kodlarına, proje dosyalarına ve ortam değişkenlerine erişim sağladı. Güvenlik şirketi Phorian kurucu ortağı Luke Roberts, sistemdeki değişken adlarının taranarak bulut kimlik bilgileri ve API anahtarlarının envanterinin çıkarıldığını aktardı. Kodlama hataları nedeniyle arka kapı bazı Windows ve macOS cihazlarda devreye giremedi, ancak zararlı yazılımın keşif verilerini dışarı aktardığı belirlendi.
## Alınan Önlemler ve Mağaza Kapatması Güvenlik ihlalinin fark edilmesinin ardından Cursor ekibi, ters kabuk bağlantısının yöneldiği sunucuyu barındıran bulut sağlayıcısıyla iletişime geçerek etkilenen cihazların erişimini kesti. Şirket, zararlı paketi mağazadan kaldırdıktan sonra tüm mağazayı geçici olarak kapatarak anahtar rotasyonu ve erişim denetimi gerçekleştirdi. Bağımsız araştırmacı Kevin Beaumont, Anthropic'in olaydan birkaç saat sonra Cursor üzerine 2.1.314 sürümünü sürdüğünü kaydetti.
## Etkilenen Kullanıcılar İçin Yapılması Gerekenler İncelemelere göre, Perşembe günü Doğu Saatiyle (ET) 05.27 ile 16.35 arasında Cursor üzerinden Anthropic eklentisini kuran veya güncelleyen tüm kullanıcıların sistemlerini ihlal edilmiş kabul etmesi gerekiyor. Cursor ve Phorian ekipleri cihazların taranması için IP adresleri ve şifreleme özetlerini içeren uzlaşma göstergelerini paylaştı. Saldırganların Anthropic'in resmî dağıtım hesabını nasıl ele geçirdiği konusu henüz aydınlatılmadı ve şirket müşterilerine yönelik resmî bir kamuoyu uyarısı yayımlamadı.
Neden önemli?Resmî tedarik zinciri üzerinden dağıtılan zararlı eklentiler, geliştirici ortamlarındaki bulut kimlik bilgileri ve kaynak kodları doğrudan riske atıyor.
Cevabı beklenen sorular
- Saldırganlar Anthropic'in Cursor üzerindeki resmî geliştirici hesabına nasıl erişim sağladı?
- Anthropic bu güvenlik ihlaliyle ilgili doğrudan etkilenen müşterilerine resmî bir bilgilendirme yapacak mı?
Kaynaklar ve belgeler
Bu haberde kullanılan belgelere aşağıdaki bağlantılardan ulaşabilirsiniz.
