Cursor'daki Sahte 'Claude Code' Eklentisiyle 5.000 Bilgisayara Nasıl Sızdılar? (Kontrol Komutları)

Kod editörün Cursor'da masum görünen bir eklenti otomatik güncelleniyor ve saniyeler içinde bilgisayarının .ssh/authorized_keys dosyasına saldırganların gizli SSH anahtarı yerleştiriliyor!

Geçtiğimiz günlerde Cursor VS Code Eklenti Marketi'nde (Open VSX tabanlı mağaza) yaşanan tedarik zinciri (Supply Chain) saldırısında, Anthropic'in resmi aracı süsü verilmiş claude-code (2.1.312 ve 2.1.313 sürümleri) yaklaşık 11 saat boyunca yayında kaldı ve 5.000'e yakın yazılımcının bilgisayarına indirildi.

Bu rehberde hem saldırının teknik mimarisini inceliyoruz hem de kendi bilgisayarında bu zararlı kalıntıların olup olmadığını 10 saniyede kontrol edebileceğin terminal komutlarını paylaşıyoruz.

1. Saldırı Nasıl Çalıştı? (Neden IDE Eklentileri Çok Tehlikeli?)

Birçok yazılımcı tarayıcı eklentileri gibi VS Code veya Cursor eklentilerinin de izole bir Sandbox içinde çalıştığını sanır. Hayır! Bir IDE eklentisi kurduğunda, o eklenti bilgisayarında senin kullanıcı hesabınla birebir aynı yetkilere sahip olur:

• ~/.ssh klasörünü okuyabilir ve değiştirebilir,
• ~/.aws/credentials ve tüm projelerindeki .env dosyalarını dışarı sızdırabilir,
• Arka planda kalıcı sistem servisleri (LaunchAgents veya Scheduled Tasks) kurabilir.

Zararlı 2.1.312 / 2.1.313 Güncellemesinin Yaptığı 3 Adım:

1. Sistem Keşfi (Reconnaissance): Bilgisayarın kullanıcı adını, işletim sistemini ve yerel IP bilgilerini toplayıp komuta kontrol (C2) sunucusuna bildirdi.
2. SSH Anahtarı Enjeksiyonu: Kullanıcının ~/.ssh/authorized_keys dosyasına saldırganın kontrolündeki bir ortak anahtarı (ssh-rsa ...) ekledi.
3. Kalıcı Ters Tünel (Reverse SSH Tunnel): macOS'ta ~/Library/LaunchAgents altına, Windows'ta ise Zamanlanmış Görevler (schtasks) altına bilgisayar her açıldığında dış sunucuya ters SSH tüneli açan bir betik yerleştirmeye çalıştı.

2. Bilgisayarını Tek Komutla Kontrol Et (Terminal Taraması)

Eğer Cursor veya VS Code üzerinde claude-code eklentisi kuruluysa, aşağıdaki komutları kendi terminalinde çalıştırarak sisteminin temiz olduğundan emin olabilirsin:

A) macOS & Linux İçin Kontrol Komutları

# 1. Yüklü Cursor eklentileri arasında 2.1.312 veya 2.1.313 sürümü var mı?
ls -la ~/.cursor/extensions/ | grep -i "claude"
 
# 2. SSH authorized_keys dosyanda tanımadığın bir anahtar var mı?
cat ~/.ssh/authorized_keys
 
# 3. macOS LaunchAgents içinde şüpheli bir arka plan servisi var mı?
ls -la ~/Library/LaunchAgents/

B) Windows (PowerShell) İçin Kontrol Komutları

# 1. Yüklü Cursor eklentilerini listele
Get-ChildItem "$env:USERPROFILE\.cursor\extensions" -Filter "*claude*"
 
# 2. SSH authorized_keys dosyasını kontrol et
if (Test-Path "$env:USERPROFILE\.ssh\authorized_keys") { Get-Content "$env:USERPROFILE\.ssh\authorized_keys" }
 
# 3. Son eklenen zamanlanmış görevleri kontrol et
Get-ScheduledTask | Where-Object {$_.TaskPath -eq "\"} | Select-Object TaskName, State

3. Şüpheli Bir Durum Varsa Ne Yapmalısın?

Eğer 2.1.312 veya 2.1.313 sürümünü gördüysen:

1. Eklentiyi derhal kaldır (rm -rf ~/.cursor/extensions/*claude-code*) ve yalnızca doğrulanmış (Verified Publisher) yayıncıların eklentilerini kur.
2. ~/.ssh/authorized_keys dosyasındaki tanımadığın satırları sil.
3. Bilgisayarında açık duran kritik AWS, GitHub Personal Access Token (PAT), Cloudflare ve veritabanı .env anahtarlarını yenile (Rotate et).
4. Cursor ve VS Code ayarlarında "Extensions: Auto Update" özelliğini kapatıp güncellemeleri manuel onaylamaya geç:

{
  "extensions.autoUpdate": false,
  "extensions.autoCheckUpdates": true
}