Yazılımcıların Kabusu Gerçek Oldu! 5000 Sistem Tuzağa Düşürüldü: Claude Code'dan Şok Eden Siber Saldırı!
Popüler kod editörü Cursor'a eklenen sahte Claude Code eklentisi, 5000'i aşkın geliştiricinin bilgisayarına uzaktan erişim sağlayan bir truva atı yerleştirmeye çalıştı. Saldırganlar SSH anahtarlarını ele geçirmeyi hedefledi.
Yazılım Dünyası Siber Tehditle Sarsıldı: Claude Code Eklentisi Tuzağa Dönüştü
Geliştiricilerin yoğun ilgi gösterdiği kod editörü Cursor'ın pazaryerinde ortaya çıkan kritik bir güvenlik açığı, binlerce geliştiriciyi alarma geçirdi. Tanınmış yapay zeka modeli Anthropic'in Claude Code eklentisinin sahte bir sürümünün, kullanıcıların bilgisayarlarına uzaktan erişim truva atı (RAT) bulaştırmaya çalıştığı belirlendi. Bu tür zararlı yazılımlar, saldırganlara bilgisayarlar üzerinde tam kontrol imkanı sunarak son derece tehlikeli eylemler gerçekleştirmelerine olanak tanıyor.
5000'den Fazla Sistem Risk Altında: Detaylar Ortaya Çıktı
Güvenlik araştırmacıları tarafından yapılan incelemelerde, Cursor'ın eklenti marketine yüklenen 2.1.313 numaralı sahte Claude Code sürümünün, geliştiricilerin sistemlerine sızma girişiminde bulunduğu tespit edildi. Cursor yetkilileri tarafından yapılan açıklamalara göre, bu tehlikeli yazılımdan yaklaşık 5000 sistemin etkilendiği düşünülüyor. Saldırganların asıl hedefinin, geliştiricilerin hassas bilgilerini ele geçirmek ve bilgisayarlarına kalıcı bir arka kapı oluşturmak olduğu anlaşılıyor.
Neler Toplandı? Saldırganların Siber Ağı Nasıl İşledi?
Kötü amaçlı yazılımın ilk aşamada oldukça detaylı bir veri toplama faaliyeti yürüttüğü ortaya çıktı. Ele geçirilen bilgiler arasında şunlar bulunuyor:
- Cihaz adı ve kullanıcı hesabı bilgileri
- İşletim sistemi ve mimari detayları
- Kullanıcıların ev dizini ve çalışma klasörleri
- Ortam değişkenlerinin adları
- Git ayarlarındaki kayıtlı e-posta adresleri
- Herkese açık IP adresleri
Bu ilk veri toplama adımının ardından saldırganlar, sistemin genel durumu ve olası arka kapı varlığı hakkında bilgi sahibi oluyordu. Ancak asıl tehlikeli kısım, zararlı kodun SSH anahtarını sistemlere ekleyerek ters SSH tüneli kurma girişimiydi. SSH (Secure Shell), bilgisayarlara güvenli bir şekilde uzaktan erişim sağlamak için kullanılan bir protokoldür. Saldırganların bu mekanizmayı kötüye kullanarak, hedef sistemlere dışarıdan erişim sağlamayı amaçladığı belirtildi.
Yönetici Hakları ve Nadir Koşullar: Kalıcı Erişim Engellendi mi?
Cursor'ın yaptığı açıklamalara göre, zararlı koddaki teknik aksaklıklar nedeniyle saldırganların kalıcı erişim sağlama denemelerinin çoğu durumda başarısız olduğu vurgulandı. Yazılımın çalışabilmesi için Cursor'ın yönetici haklarıyla açılması gibi oldukça spesifik ve nadir koşulların bir araya gelmesi gerektiği belirtildi. Bu durum, saldırının yaygınlığının daha sınırlı kalmasına yol açmış olabilir.
Anthropic Altyapısı Hedef Alınmadı: Tedarik Zinciri Saldırısı
Yaşanan bu talihsiz olayla ilgili olarak Anthropic ve Cursor'dan yapılan açıklamalarda, saldırının doğrudan Anthropic altyapısını hedef almadığı önemle belirtildi. Zararlı paketin, Cursor'ın pazaryeri üzerinden yüklendiği ve görünüşte doğrulanmış bir Anthropic hesabı adına yayımlandığı anlaşıldı. Bu durum, olayın bir yazılım tedarik zinciri saldırısı niteliği taşıdığını gösteriyor. Yani, güvenilir bir kaynaktan gelen bir yazılımın veya eklentinin içine gizlenmiş zararlı kodlarla yapılan saldırılar türünde.
Güncelleme Yeterli mi? Geliştiricilere Önemli Uyarılar
Yaşanan tehlikenin ardından Cursor, söz konusu zararlı 2.1.313 sürümünü pazaryerinden kaldırdı ve yerine güvenli olduğu düşünülen 2.1.314 sürümünü getirdi. Ancak güvenlik uzmanları, bu güncellemenin, daha önce bulaşmış sistemlerde oluşan SSH arka kapısını otomatik olarak silmediğini hatırlatıyor. Ayrıca, yeni sürümdeki zararlı kodun tamamen temizlendiğine dair kesin bir doğrulama henüz yapılmadı. Bu nedenle, 2.1.313 sürümünü yüklemiş olabilecek geliştiricilerin, sistemlerini detaylı bir şekilde kontrol etmeleri büyük önem taşıyor. Özellikle SSH izinli anahtarlarını gözden geçirmeleri ve şüpheli bir durumla karşılaşmaları halinde derhal önlem almaları tavsiye ediliyor.
Şüpheli aktiviteyi ilk olarak tespit eden Phorion ekibi, Microsoft Defender for Endpoint için enfeksiyon izlerini aramak üzere özel sorgular da yayınladı. Ancak şu ana kadar kaç sistemin gerçekten aktif bir uzaktan erişim kanalı elde ettiği konusunda net bir bilgi bulunmuyor.