Cursor eklenti mağazasında sahte Claude Code paketi tespit edildi
Öne çıkanlar
- Sahte Claude Code eklentisi Cursor mağazasında yaklaşık 11 saat boyunca yayında kaldı.
- Zararlı yazılım ters SSH tüneli açarak cihazlara uzaktan erişim arka kapısı kurmayı denedi.
- Eklentinin kaldırılması dizin dışına yazılan kalıcı başlangıç dosyalarını ve SSH anahtarlarını silmiyor.
Cursor geliştirme ortamının eklenti mağazasında Anthropic adına yüklenen sahte bir Claude Code eklentisi tespit edildi. 29 Ekim 2026 tarihinde yaklaşık 11 saat boyunca yayında kalan zararlı eklenti, kullanıcıların cihazlarına kalıcı bir SSH arka kapısı yerleştirmeyi hedefledi. Microsoft Tehdit İstihbaratı ekibi tarafından paylaşılan teknik analize göre olay yalnızca Cursor mağazasıyla sınırlı kaldı; resmi Visual Studio Marketplace ve npm kayıtlarındaki paketler saldırıdan etkilenmedi.
Eklenti paketine enjekte edilen JavaScript yükleyicisi, modül çalıştığı anda ana makine bilgilerini toplayıp yerel SSH hizmetini etkinleştirmeyi denedi. Saldırgan denetimindeki bir SSH anahtarını yetkili anahtarlar listesine ekleyen yazılım, dışa doğru bir ters SSH tüneli kurarak uzaktan erişim sağlamaya çalıştı. Zararlı kod ayrıca macOS üzerinde LaunchAgent, Linux sistemlerde crontab ve Windows ortamlarında zamanlanmış görevler oluşturarak kalıcılık mekanizması kurmayı hedefledi.
Cursor, izin yetersizlikleri ve yapılandırma hataları nedeniyle çoğu sistemde doğrudan erişimin engellendiğini açıkladı. Ancak eklentinin kaldırılması, dış dizinlere yazılan kalıcılık dosyalarını ve SSH anahtarlarını temizlemiyor. Güvenlik uzmanları, etkilenen kullanıcıların cihazlarındaki yetkisiz anahtarları ve başlangıç komutlarını elle temizlemesi, ardından oturum kimlik bilgilerini yenilemesi gerektiğini bildirdi.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.