Cursor Marketplace üzerinden dağıtılan resmi Claude Code eklentisinin trojanlaştırılmış bir sürümü, kalıcı SSH arka kapısı ile kullanıcıların karşısına çıktı. Version 2.1.313 numaralı kötü amaçlı güncelleme, eklentinin meşru yayıncı kimliği altında yayımlandı. Cursor ise tehdit ortaya çıkar çıkmaz erişimi geçici olarak durdurdu.
Meşru yayıncı kimliğiyle yayıldı
İncelemeye göre saldırganlar, kullanıcı güvenini en çok etkileyen unsuru, yani eklentinin yayıncı kimliğini hedef aldı. Zararlı paket bu sayede resmi sürüm izlenimi vererek mağaza içinde dolaşıma girdi. Güvenlik ekipleri, yazılım tedarik zincirinde en zor senaryolardan birinin tam da bu olduğunu söylüyor; çünkü kötü amaçlı kod, ilk bakışta güvenilir görünen bir güncellemenin içine gizleniyor.
Cursor’un aldığı geçici kapatma kararı, tehdidin mağaza tarafında da fark edildiğini gösterdi. Kötü amaçlı sürümün taşıdığı persistent SSH backdoor, saldırgana sisteme yeniden erişim sağlama imkanı veren bir kalıcılık mekanizması sunuyor. Bu da yalnızca bir kullanıcı oturumunu değil, makineye sonradan tekrar bağlanma olanağını da riske atıyor.
Tedarik zinciri saldırılarında yeni maske
Bu olayda saldırı, bir kimlik avı e-postasından ya da doğrudan bir sunucu açığından değil, eklenti dağıtım kanalından geldi. Yazılım mağazalarında güvenilir görünen paketler, geliştirici araçları ve üretkenlik eklentileri üzerinden hızla yayılabildiği için saldırganlar bu hattı sık sık kullanıyor. Claude Code gibi üretken yapay zeka araçları için sunulan eklentiler de aynı nedenle yüksek ilgi görüyor.
Version 2.1.313’ün hangi yöntemle yerleştirildiğine ilişkin teknik ayrıntı paylaşılmadı, ancak olay tek bir güncellemenin yayılmasıyla başlamış görünüyor. Zararlı sürümün kaldırılması ya da geri çekilmesiyle birlikte mağaza tarafındaki hareketlilik de durmuş durumda. Olay, güvenilir yazılım kanallarında yayıncı kimliği doğrulamasının ve paket bütünlüğünün ne kadar kritik olduğunu bir kez daha ortaya koydu.