افزونه‌ی جعلی Claude Code در بازار Cursor بک‌دور SSH نصب می‌کرد؛ چرا حذف افزونه برای پاک‌سازی کافی نیست؟

در ۲۹ اکتبر ۲۰۲۶ (۷ آبان ۱۴۰۵) نسخه‌ای دست‌کاری‌شده از افزونه‌ی رسمی Claude Code حدود ۱۱ ساعت در بازار افزونه‌های Cursor در دسترس بود. بر پایه‌ی اعلام Cursor، این نسخه‌ها می‌کوشیدند کلید SSH مهاجم را روی رایانه‌ی توسعه‌دهنده بنشانند، تونل معکوس باز کنند و ماندگاری ایجاد کنند. نکته‌ی عملی این است که پاک‌کردن افزونه به‌تنهایی ردپا را از بین نمی‌برد.

نسخه‌ای با ظاهر رسمی، بار مخرب و ماندگار

پرسش اصلی این است که چرا یک افزونه‌ی «رسمی» در یک بازار معتبر می‌تواند به ابزار نفوذ تبدیل شود و کاربر چه چیزی را باید پاک‌سازی کند. بر پایه‌ی اطلاعیه‌ی Cursor، نسخه‌ی دست‌کاری‌شده‌ی افزونه‌ی Anthropic.claude-code برای ویندوز و مک در بازار افزونه‌های این ابزار منتشر شد. Cursor تأکید می‌کند این نسخه‌ها را Anthropic نساخته است.

رفتار بار مخرب بر اساس تحلیل‌های منتشرشده

Cursor و تحلیل مایکروسافت رفتار مشابهی را توصیف می‌کنند. کد تزریق‌شده هنگام بارگذاری ماژول اجرا می‌شود، نام میزبان، نام کاربری، سیستم‌عامل، معماری، مسیر خانه، ایمیل Git و نشانی IP عمومی را جمع می‌کند و سپس می‌کوشد کلید SSH مهاجم را به فایل authorized_keys اضافه کند، سرویس SSH محلی را فعال کند و تونل معکوس بسازد. مایکروسافت می‌گوید فقط نام حداکثر ۴۰ متغیر محیطی حاوی عباراتی مانند KEY، TOKEN و SECRET گزارش می‌شود، نه مقدار آن‌ها.

در دامنه‌ی اثر اختلافی دیده می‌شود: مایکروسافت و Ars Technica از کدی می‌گویند که لینوکس را هم در نظر گرفته، اما اطلاعیه‌ی Cursor دامنه‌ی نسخه‌های مشکل‌دار را ویندوز و مک اعلام می‌کند. رونما این را «کد پشتیبان لینوکس» می‌داند، نه تأیید آلودگی در لینوکس.

پیشینه و تاریخچه: از GlassWorm تا بازار Cursor

حمله به زنجیره‌ی توزیع افزونه‌های ویرایشگر کد تازه نیست. در اکتبر ۲۰۲۵ شرکت Koi Security کمپینی به نام GlassWorm را در بازار Open VSX گزارش کرد که از نویسه‌های نامرئی یونیکد برای پنهان‌کردن کد استفاده می‌کرد. به گفته‌ی Koi، نخستین موج در ۱۷ اکتبر ۲۰۲۵ رخ داد و حدود ۳۵٬۸۰۰ نصب را در بر گرفت.

بنیاد Eclipse، نگهدارنده‌ی Open VSX، دو بخش از آن روایت را رد کرد: گفت این بدافزار «کرم خودتکثیرشونده» به معنای متداول نبود و رقم ۳۵٬۸۰۰ به‌دلیل دانلودهای ربات‌ها و تاکتیک‌های افزایش دید بیش از واقع است. بنیاد گفت رخداد تا ۲۱ اکتبر ۲۰۲۵ مهار و بسته شده است. تفاوت دو روایت نشان می‌دهد ارقام اولیه‌ی این نوع رخدادها باید با احتیاط خوانده شوند.

1. ۱۷ تا ۲۱ اکتبر ۲۰۲۵گزارش GlassWorm در Open VSX؛ Koi از ۳۵٬۸۰۰ نصب می‌گوید، بنیاد Eclipse این رقم را بیش از واقع می‌داند و رخداد را مهارشده اعلام می‌کند.
2. حدود یک هفته پیش از ۳۰ اکتبر ۲۰۲۶به نقل The Hacker News، مهاجمی فایل‌های اجرایی پنج نسخه‌ی منتشرشده‌ی ابزار خط فرمان OVHcloud را با بدافزار سارق راز جایگزین کرد؛ حساب GitHub یک مشارکت‌کننده در جریان عملیات GlassWorm در مارس ۲۰۲۶ ربوده شده بود.
3. ۲۹ اکتبر ۲۰۲۶، حدود ۲:۲۷ صبح به وقت غرب آمریکانسخه‌ی مخرب افزونه‌ی Anthropic.claude-code در بازار Cursor قابل دریافت شد.
4. ۲۹ اکتبر ۲۰۲۶، حدود ۱:۳۵ بعدازظهرCursor نسخه‌ی مشکل‌دار را حذف کرد، بازار را موقتاً بست، کلیدها را چرخاند و با ارائه‌دهنده‌ی میزبانی برای قطع سرور مهاجم همکاری کرد.
5. ۳۰ اکتبر ۲۰۲۶مهندسان Anthropic اعلام کردند سامانه‌های شرکت نفوذپذیر نشده و کانال‌های رسمی تحت تأثیر نیستند؛ مایکروسافت و چند شرکت امنیتی تحلیل منتشر کردند. چگونگی دسترسی مهاجم به حساب ناشر هنوز اعلام نشده بود.

اهمیت نقطه‌ی عطف

این بار آنچه تغییر کرد برند و اعتماد بود: مهاجم نام ظاهری یک افزونه‌ی ساختگی را به کار نبرد، بلکه نسخه‌ای را با شناسه‌ی افزونه‌ی رسمی منتشر کرد. به گفته‌ی OpenSourceMalware، بسته خود را anthropic.claude-code نسخه‌ی ۲٫۱٫۳۱۳ معرفی می‌کرد و شامل یک بار ۶۶ خطی تزریق‌شده پیش از کد قانونی بود. به نقل StepSecurity از Anthropic، شرکت برای پرهیز از اشتباه از ۲٫۱٫۳۱۳ رد شد و نسخه‌ی بعدی را ۲٫۱٫۳۱۴ نامید.

بازار و سهام

پیامد بازاری مستقیم گزارش نشده است. در گزارش‌های خوانده‌شده، تغییر قیمت سهام یا رمزارزی که مستقیماً به این رخداد نسبت داده شود دیده نشد؛ بنابراین واکنش بازار تأییدنشده است و رونما عددی ارائه نمی‌کند. برای پیگیری بازار جهانی، سهام فناوری، رمزارز و کالا می‌توانید به نقشه بازار رونما سر بزنید. مطلب رونما درباره‌ی هک بایننس نمونه‌ی دیگری از رخدادهای امنیتی همین روزهاست.

تأثیر و راهکارها

تأثیر فنی و امنیتی

افزونه‌های IDE با مجوزهای خود ویرایشگر اجرا می‌شوند. Ars Technica یادآوری می‌کند که نسخه‌ی مخرب پس از نصب احتمالاً به فایل‌های محلی، کد منبع و ابزارهای توسعه دسترسی پیدا می‌کرد. به گفته‌ی لوک رابرتس، هم‌بنیانگذار Phorian، افزونه‌ها در Cursor به‌صورت پیش‌فرض خودکار به‌روز می‌شوند؛ پس کاربر می‌توانسته بی‌آن‌که اقدامی کند نسخه‌ی مخرب را دریافت کند. برای صنعت ابزارهای هوش مصنوعی توسعه، پیام روشن است: اعتماد به نام ناشر کافی نیست و امضا، ردگیری انتشار و کنترل حساب ناشر در بازار افزونه به زیرساخت امنیتی تبدیل شده است. درباره‌ی دفاع سایبری و مدل‌های هوش مصنوعی، گزارش رونما درباره‌ی مدل باز میسترال بخش دیگری از این بحث است.

در رسانه‌های خوانده‌شده کانال اثر مستند و مشخصی برای کاربران ایرانی گزارش نشده است؛ هر توسعه‌دهنده‌ای در هر کشور که در آن بازه Cursor را روی مک یا ویندوز نصب یا به‌روز کرده باشد، در دامنه‌ی بررسی قرار می‌گیرد.

راهکارها و توصیه‌های عملی

الف) توسعه‌دهندگان، مهندسان و مدیران فنی. نخست مشخص کنید افزونه‌ی Anthropic.claude-code نسخه‌ی ۲٫۱٫۳۱۲ یا ۲٫۱٫۳۱۳ را از بازار Cursor در بازه‌ی گفته‌شده دریافت کرده‌اید یا نه. فایل ~/.ssh/authorized_keys را برای کلیدی با برچسب svc-telemetry و ردپاهای جدول بالا بررسی کنید. Cursor اسکریپت‌های بازسازی برای macOS و ویندوز منتشر کرده است. پس از پاک‌سازی، توکن‌های Git و CI، کلیدهای ابری و SSH را از یک سامانه‌ی سالم بچرخانید و در شبکه به دنبال ارتباط با نشانی 134[.]209[.]82[.]225 (درگاه ۸۰۹۹) باشید. به‌روزرسانی خودکار افزونه‌های حساس را در محیط‌های سازمانی کنترل یا فهرست مجاز تعریف کنید.

ب) سرمایه‌گذاران و فعالان بازار. این بخش توصیه‌ی خرید یا فروش نیست. موارد قابل رصد: افشای ریشه‌ی نفوذ به حساب ناشر، اعلام رسمی تعداد کاربران آسیب‌دیده، تغییر سیاست‌های امضا و بازبینی در بازارهای افزونه و واکنش مشتریان سازمانی به ابزارهای کدنویسی هوش مصنوعی. ریسک اصلی، تأیید‌نشدن دامنه‌ی واقعی خسارت و وابستگی شرکت‌ها به یک زنجیره‌ی توزیع واحد است.

ج) کاربران نهایی و کسب‌وکارها. اگر Cursor روی رایانه‌ی کاری شما نصب است، فهرست افزونه‌ها را بازبینی کنید، به‌روزرسانی‌های ناگهانی را بررسی کنید و اگر در بازه‌ی گفته‌شده به‌روز شده‌اید، موضوع را به تیم فناوری اطلاعات اطلاع دهید. کسب‌وکارهایی که نرم‌افزار می‌سازند باید فهرست افزونه‌های مجاز و فرایند پاسخ به رخداد داشته باشند. برای مطالعه‌ی مرتبط: ابزارهای سازمانی Claude.

ضدتحلیل و محدودیت‌ها

قوی‌ترین اعتراض این است که اثر واقعی محدود بوده است: بازه‌ی انتشار حدود ۱۱ ساعت بود، سقف کاربران ۵٬۰۰۰ اعلام شده، سرور مهاجم از دسترس خارج شد و مرحله‌ی فعال‌سازی SSH در بیشتر میزبان‌ها بدون دسترسی مدیر شکست می‌خورد. در مقابل، همین گزارش‌ها می‌گویند کلید و ماندگاری حتی در شکست تونل نوشته می‌شد و حذف افزونه کافی نیست. سه چیز هنوز نامعلوم است: چگونگی دسترسی به حساب ناشر، تعداد واقعی نصب‌های فعال و وجود یا نبود سوءاستفاده‌ی بعدی. روایت‌های اولیه‌ای که مبدأ را Open VSX می‌دانستند بعداً اصلاح شدند.