Open VSX üzerindeki Claude Code eklentisinde SSH arka kapısı bulundu

Açık kaynak eklenti havuzu Open-VSX üzerinde yayımlanan resmi Anthropic Claude Code eklentisinin 2.1.313 sürümünde zararlı bir arka kapı tespit edildi. Güvenlik analistleri, eklentinin meşru ikili dosyalarını barındırmasına karşın ana JavaScript dosyasının başına 66 satırlık zararlı bir yükleyici eklendiğini açıkladı. Geliştiricinin herhangi bir komut çalıştırmasına gerek kalmadan yalnızca VS Code tarafından eklentinin belleğe yüklenmesiyle çalışan bu zararlı kod, sistem üzerinde tam yetkili bir SSH tüneli açtı.

Zararlı kod sistemi tarayarak ana bilgisayar adını, kullanıcı adını, işletim sistemini, genel Git e-posta adresini ve AWS ile GCP gibi bulut anahtarlarını içeren 40 adede kadar ortam değişkeninin adını topladı. Ardından hedefin yetkilendirilmiş SSH anahtarlarına "svc-telemetry" etiketli bir Ed25519 anahtarı ekledi ve yerel SSH servisini etkinleştirmeye çalıştı. Eklenti, macOS, Linux ve Windows sistemlerinde arka planda kalıcılık sağlamak amacıyla LaunchAgent, cron veya zamanlanmış görev mekanizmalarını devreye sokarak saldırganların kontrolündeki uzak sunucuya ters SSH tüneli bağladı.

Analizler, yükleyicinin ek bir zararlı yazılım indirmediğini, doğrudan gömülü betikleri ve özel anahtarları kullanarak erişim sağladığını gösterdi. Yayımcı hesabının bir Anthropic çalışanına ait olduğu ancak hesabın ele mi geçirildiği yoksa farklı bir sürecin mi devreye girdiği henüz netleşmedi. Güvenlik uzmanları, bu eklenti sürümünü yükleyen geliştiricilerin sistemlerini ağdan ayırmalarını, kimlik bilgilerini derhal yenilemelerini ve sistemleri sıfırdan kurmalarını tavsiye etti.