العثور على نسخة مزيفة من Claude Code تحمل باب SSH خلفيًا في Cursor Marketplace: ما يصل إلى 5000 مستخدم في دائرة الخطر

نشرت Cursor إشعارًا أمنيًا جاء فيه أن متجر الإضافات الخاص بها لـ VS Code قدّم نسخة خبيثة من Anthropic.claude-code 2.1.313. وتؤكد الشركة أن هذه ليست نسخة من Anthropic: فقد استبدل شخص ما الحزمة، وحاول من خلالها زرع باب SSH خلفي دائم على أجهزة المطورين. وبحسب تقدير Cursor، لا يزيد عدد المستخدمين المتأثرين عن 5000، وتعد الشركة بالتواصل معهم مباشرة.

بقيت الحزمة الخبيثة في المتجر من 2:27 تقريبًا حتى 13:35 بتوقيت المحيط الهادئ. أزالتها Cursor فور اكتشافها ومنعت استمرار توزيعها. ثم أوقفت الشركة المتجر بالكامل احتياطًا، وراجعت الصلاحيات، وتأكدت من أن الإضافات الأخرى لم تُمس. بعد ذلك غيّرت المفاتيح، وأعادت بناء المتجر، وأطلقته من جديد. وعطّلت Cursor، بالتعاون مع مزود الخدمات السحابية، خادم المهاجم، وبذلك توقف عمل النفق العكسي وإرسال بيانات المضيف.

ملاحظة صغيرة بشأن التواريخ: المنشور مؤرخ في 13 أغسطس 2026، بينما تربط تعليمات المستخدمين نافذة التثبيت بتاريخ 29 أكتوبر 2026. ولا يتضح من النص أي التاريخين هو الصحيح، لذا اعتمدوا على الفترة الزمنية وعلى الفحص بواسطة المفتاح الموضح أدناه.

ماذا كان يفعل الكود الخبيث

جمعت الإضافة بيانات عن المضيف: اسم الجهاز والمستخدم، ونظام التشغيل، والبنية، والمجلد الرئيسي، وأسماء متغيرات البيئة، ومجلدات العمل، وعنوان البريد الإلكتروني من إعدادات Git، وعنوان IP العام. ثم حاولت إضافة مفتاح SSH يخص المهاجم، بالتعليق svc-telemetry، إلى authorized_keys، وتشغيل خدمة SSH المحلية، وفتح نفق SSH عكسي.

ولضمان البقاء استخدم الكود LaunchAgent على macOS (com.apple.sysmond) ومهمة مجدولة باسم SysMon على Windows، مع بديل احتياطي عبر مجلد بدء التشغيل. وكررت السكربتات الخلفية محاولة توصيل النفق مرة كل 60 ثانية تقريبًا. وأبلغ الكود عن حالة الباب الخلفي ومعلمات المضيف عبر طلب HTTP POST إلى /beacon على المنفذ 8099.

وبحسب Cursor، كانت خطوة النفق ستفشل في معظم الحالات بسبب أخطاء في الكود نفسه. فتشغيل خدمة SSH يتطلب صلاحيات المسؤول، وهذه الصلاحيات ليست متاحة للإضافة على معظم أجهزة macOS وWindows. والاستثناء هو الحالات النادرة التي شُغّل فيها Cursor بصلاحيات مرتفعة. لكن بقية الخطوات تمت دون هذه الصلاحيات: أُضيف المفتاح، وثُبّت التشغيل التلقائي، وخرجت بيانات المضيف. لذلك تطلب Cursor من كل من ثبّت هذه الحزمة تنفيذ التوصيات.

كيف تفحص جهازك وماذا تفعل

الفحص بسيط: ابحث عن السلسلة svc-telemetry في ~/.ssh/authorized_keys. وعلى Windows هناك ملفان: المسار نفسه في ملف تعريف المستخدم، والملف C:\ProgramData\ssh\administrators_authorized_keys. إذا عُثر على المفتاح، فالجهاز متأثر.

بعد ذلك تنصح Cursor بعزل المضيف الذي تظهر عليه آثار تنفيذ payload، وتشغيل سكربت التنظيف. على macOS هو remediate-macos.sh، ويُشغَّل بحساب مستخدم عادي، وليس root. وعلى Windows هو remediate-windows.ps1 في PowerShell بصلاحيات المسؤول. تحذف السكربتات الإضافة وآليات التشغيل التلقائي وعمليات النفق ومفتاح المهاجم، وتنتهي برمز خروج غير صفري إذا بقي أي أثر. بعدها يجدر النظر فيما إذا كانت إعادة بناء الجهاز من الصفر أبسط.

حذف الإضافة وحده لا يكفي: يترك payload سكربتات تشغيل تلقائي منفصلة تواصل العمل. أما بيانات الاعتماد والجلسات التي يمكن الوصول إليها من الجهاز المتأثر، فيجب تغييرها من نظام موثوق. وجمع أسماء متغيرات البيئة لا يكشف قيمها نفسها، لكن Cursor تحذر صراحةً من أن هذا لا يستبعد الوصول إلى الأسرار لاحقًا عبر الباب الخلفي.

وتتضمن الإشعارات الموجهة لفرق الأمن مؤشرات الاختراق: تجزئات SHA-256 لـ darwin-arm64 وwin32-x64، وعنوان IP للخادم، وبصمات المفاتيح، وأوامر مثل ssh -N -R وschtasks /create /tn SysMon. أما الطلبات إلى ifconfig.me وapi.ipify.org فلا تُعدّ مؤشرًا بحد ذاتها، لأنها خدمات مشروعة.

تُظهر الحادثة نقطة ضعف في محررات AI: إضافات المتجر تُنفَّذ بصلاحيات المستخدم، وعلى جهاز المطور توجد مفاتيح SSH والرموز المميزة (tokens) وإمكانية الوصول إلى المستودعات. واستبدال الحزمة تحت اسم مطوّر معروف مصمم لاستغلال ذلك تحديدًا. ولم توضح Cursor كيف رفع المهاجم الحزمة إلى المتجر، ولا تملك الشركة دليلًا على تأثر نسخ أخرى.