Cursor'da sahte Claude Code eklentisi: hemen kontrol et

Cursor'ın 29 Ekim tarihli güvenlik duyurusuna göre, Cursor'ın VS Code eklenti mağazasında Claude Code eklentisinin zararlı bir kopyası yaklaşık 11 saat yayında kaldı (02:27 – 13:35 PT). Bu sürümler Anthropic tarafından geliştirilmedi.

Etkilenen sürümler

• Anthropic.claude-code 2.1.312 ve 2.1.313, macOS ve Windows.
• Yalnız bu zaman aralığında eklentiyi Cursor mağazasından kuran ya da güncelleyenler etkileniyor. Cursor, başka eklentilerin veya resmi dağıtımın etkilendiğine dair bir bulgu olmadığını söylüyor.

Zararlı kod ne yapıyordu?

• Bilgisayar adı, kullanıcı adı, işletim sistemi, git e-postası ve genel IP gibi sistem bilgilerini topluyordu.
• ~/.ssh/authorized_keys dosyasına svc-telemetry adlı bir SSH anahtarı ekleyip ters SSH tüneli açmaya çalışıyordu.
• Kalıcı olmak için macOS'ta com.apple.sysmond adlı bir LaunchAgent, Windows'ta SysMon adlı bir zamanlanmış görev kuruyordu.

Cursor'a göre SSH'yi açmak yönetici yetkisi istediği için bu adım çoğu bilgisayarda muhtemelen başarısız oldu. Saldırganın sunucusu da kapatıldı. Yine de kontrol etmen öneriliyor.

Kontrol listesi

1. ~/.ssh/authorized_keys içinde svc-telemetry anahtarı var mı bak.
2. macOS'ta com.apple.sysmond LaunchAgent'ını, Windows'ta SysMon görevini ve sysmon.cmd dosyasını ara.
3. Eklentiyi kaldırmak yetmeyebilir: Cursor'ın remediate-macos.sh / remediate-windows.ps1 betiklerini çalıştır.
4. Etkilenen bilgisayardan erişilebilen şifre ve oturumları güvenilir bir cihazdan yenile.

Tüm göstergeler ve betikler: Cursor güvenlik duyurusu.