1 час назад

В Open-VSX обнаружена вредоносная сборка расширения Claude Code

В Open-VSX обнаружили подтверждённую как вредоносную сборку расширения VS Code anthropic.claude-code версии 2.1.313. Её происхождение не установлено, а компрометация официального маркетплейса Anthropic или инфраструктуры дистрибуции в отчёте не подтверждается. Загрузчик в составе расширения может запуститься при его загрузке, без начала диалога с Claude.

Вредоносный загрузчик занимает первые 66 строк основного JavaScript-бандла и выполняется до кода легитимного расширения. В пакете нет сценариев жизненного цикла, что указывает на выполнение кода во время работы расширения. Загрузчик подавляет большинство исключений, поэтому расширение может продолжать нормальную работу, скрывая неудачные вредоносные действия.

Загрузчик пытается включить SSH-доступ на хосте. В macOS он активирует функцию Remote Login, в Linux запускает службу SSH, а в Windows пытается установить и запустить OpenSSH Server. Затем он расшифровывает встроенный закрытый ключ OpenSSH во временный файл и использует его для создания обратного SSH-туннеля к адресу 134.209.82.225. Туннель перенаправляет соединения на порт 22 целевой системы. Внешняя доступность зависит от конфигурации SSH-сервера.

Для закрепления ВПО использует механизмы разных платформ. В macOS оно создаёт и загружает LaunchAgent com.apple.sysmond, настроенный на запуск при входе в систему и постоянную активность. В Linux файлы размещаются в каталоге ~/.config, а в crontab добавляется запись @reboot. В Windows файлы с командами и ключами записываются в каталог .config, затем предпринимается попытка создать запланированную задачу SysMon, которая запускается при старте системы от имени SYSTEM. В качестве запасного варианта используется каталог «Автозагрузка».

Через короткое время загрузчик также обращается с помощью curl к сервисам, определяющим публичные IP-адреса. В ответ он получает текстовые данные об IP-адресах, а не дополнительные полезные нагрузки. Зафиксированная активность указывает на устойчивый удалённый доступ через SSH-ключ и туннель.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.

Автор: Технологии киберугроз

Технологии киберугроз – технологическая компания, специализирующаяся на решениях по анализу угроз для предприятий любого размера. Мы собираем, нормализуем, обогащаем информацию о киберугрозах со всего мира. Нашими источниками являют более 260 открытых фидов, более 100 открытых поставщиков Threat Intelligence-отчетов, открытые online sandbox, социальные сети и репозитории GitHub. Мы также предоставляем ряд сервисов по: семантическом анализу Threat Intelligence-отчетов и приведения их в машиночитаемый формат STIX 2.1, проверки IoC на потенциальные ложноположительные сработки, а также получению WHOIS-записей для доменных имен.

Комментарии: